高危漏洞预警

Jenkins多个高危安全漏洞

漏洞编号：

CVE-2017-1000353、CVE-2017-1000354、CVE-2017-1000356

漏洞描述和危害：

2017年4月26日 Jenkins 发布漏洞公告：https://jenkins.io/security/advisory/2017-04-26/

官方通告Jenkins存在多个漏洞，并在最新版中修复，其中高危以上漏洞如下：

CVE-2017-1000353（严重）：可在未登陆状态下，利用java反序列化实现远程命令执行

CVE-2017-1000354（高危）：利用login命令实现任意身份伪造，但需要一个普通用户权限

CVE-2017-1000356（高危）：多个csrf漏洞

其中CVE-2017-1000353利用成本极低，可造成非常严重的危害，黑客可直接在Jenkins服务器上执行任意命令，控制服务器，并可进一步控制slave节点。

漏洞影响范围：

Jenkins 2.56 以及之前版本

Jenkins LTS 2.46.1 以及之前版本

漏洞修复方案：

升级Jenkins版本至最新版（Jenkins 2.57，Jenkins LTS 2.46.2）。如短时间内不能升级，可临时限制不允许公网访问，防止黑客扫描利用。

Windows系统 SMB/RDP远程命令执行漏洞

漏洞编号：

暂无

漏洞描述和危害：

国外黑客组织Shadow Brokers发出了NSA方程式组织的机密文档，包含了多个Windows 远程漏洞利用程序，该工具包影响全球70%的Windows服务器，可以利用SMB、RDP服务成功入侵服务器或造成服务器出现蓝屏现象。

漏洞影响范围：

已知受影响的Windows版本包括但不限于：

Windows NT

Windows 2000

Windows XP

Windows 2003

Windows Vista

Windows 7

Windows 8

Windows 2008

Windows 2008 R2

Windows Server 2012 SP0

漏洞修复方案：

推荐及时更新windows官方补丁。

如果您使用的是港湾云服务提供的标准Windows镜像:

2017.4.27之前新装的Windows云服务器建议按下表更新Windows相关补丁。

1.      

2.     2017.4.27以后新装的Windows云服务器已经默认安装上表中所有补丁，上述攻击程序均不受影响。

Struts2基于Jakarta插件的远程代码执行漏洞

漏洞编号：

Struts2官方漏洞编号S2-045

漏洞描述和危害：

Struts2-045 基于Jakarta插件的Struts2远程代码执行漏洞。攻击者可在上传文件时修改HTTP头中的Content-Type为恶意内容，从而触发此漏洞，执行系统命令。

官方相关链接：https://cwiki.apache.org/confluence/display/WW/S2-045?from=groupmessage&isappinstalled=0

受影响版本：

Struts 2.3.5 - Struts 2.3.31

Struts 2.5 - Struts 2.5.10

修复方案：

升级Struts 到Struts 2.3.32 或 Struts 2.5.10.1版本

WordPress REST API 内容注入漏洞

漏洞编号：

暂无

漏洞描述和危害：

WordPress REST API插件在4.7.0版本中被集成并默认开启，近日被发现其存在内容注入漏洞，即未授权用户可以修改任意文章、页面内容。WordPress官方在4.7.2版本中修复了此漏洞。

漏洞详情可参考：https://blog.sucuri.net/2017/02/content-injection-vulnerability-wordpress-rest-api.html

受影响版本：

WordPress 4.7.0-4.7.1

修复方案：

升级WordPress至4.7.2及以上版本

Debian、ubuntu发行版的Nginx本地提权漏洞

漏洞编号：

CVE-2016-1247

漏洞描述和危害：

Debian、ubuntu发行版的Nginx本地提权漏洞，本地攻击者可以通过符号链接到任意文件来替换日志文件，从而实现提权，获取服务器权限。

漏洞影响范围：

Debian: Nginx 1.6.2-5+deb8u3

Ubuntu: Ubuntu 16.04LTS: 1.10.0-0ubuntu0.16.04.3、 Ubuntu 14.04 LTS: 1.4.6-1ubuntu3.6、 Ubuntu 16.10:1.10.1-0ubuntu1.1

漏洞利用条件：

通过远程利用高方式获取本地权限后，再次利用提权。

漏洞修复方案：

升级至最新的Nginx软件包，访问https://www.debian.org/security/2016/dsa-3701https://www.ubuntu.com/usn/usn-3114-1/

Apache Tomcat远程代码执行漏洞

漏洞编号： CVE-2016-8735

漏洞描述和危害：

该漏洞诱因主要存在于Oracle已经修复JmxRemoteLifecycleListener反序列化漏洞(CVE-2016-3427)。 Tomcat同时也使用了JmxRemoteLifecycleListener这个监听功能，并且没有及时升级，从而导致该远程代码执行漏洞。

黑客通过利用漏洞可以实现远程命令执行，严重情况下可能会导致业务中断或数据泄露。

漏洞利用条件：

需要外部开启JmxRemoteLifecycleListener监听端口，可以实现远程利用。

漏洞影响范围：

Apache Tomcat 9.0.0.M1 to 9.0.0.M11

Apache Tomcat 8.5.0 to 8.5.6

Apache Tomcat 8.0.0.RC1 to 8.0.38

Apache Tomcat 7.0.0 to 7.0.72

Apache Tomcat 6.0.0 to 6.0.47

复制

漏洞修复方案：

官方已经发布了版本更新，建议用户升级到最新版本：

Apache Tomcat 9.0.0.M13或最新版本

Apache Tomcat 8.5.8或最新版本

Apache Tomcat 8.0.39或更新版本；

Apache Tomcat 7.0.73或更新版本；

Apache Tomcat 6.0.48或更新版本

复制

参考信息：

·         http://tomcat.apache.org/security-8.html

·         http://tomcat.apache.org/security-7.html

·         http://tomcat.apache.org/security-6.html

Memcached高危漏洞预警

漏洞编号： CVE-2016-8704、CVE-2016-8705、CVE-2016-8706

漏洞描述和危害：

2016年10月31日 Memcached 发布 1.4.33 版本并修复多个高危漏洞，恶意攻击者利用这些漏洞可致远程代码执行、拒绝服务攻击。

Memcached 是一个高性能的分布式内存对象缓冲系统，一般用于动态Web应用以减轻数据库负载。

emcached 支持两种协议存取数据：ASCII 和Binary，采用基于内存的Key-Value 方式存储小块的任意数据。CVE-2016-8704、CVE-2016-8705、CVE-2016-8706 三个高危漏洞均与Binary协议相关，存在于Binary协议和SASL身份验证中：

·         CVE-2016-8704 ：负责处理Binary协议命令的process_bin_append_prepend函数存在一个整数溢出漏洞，可导致远程命令执行；

·         CVE-2016-8705：负责处理Binary协议命令的process_bin_update函数存在多个整数溢出漏洞，可导致远程命令执行；

·         CVE-2016-8706：负责处理Binary协议命令的process_bin_sasl_auth函数存在一个整数溢出漏洞，可导致远程命令执行；

恶意攻击者通过构一个造恶意Memcached命令发送给服务器，利用这些漏洞可导致敏感信息泄露，利用这些信息可绕过常见的溢出缓解机制，最终到达远程命令执行或拒绝服务。

POC测试：

·         CVE-2016-8704 POC下载地址：http://www.talosintelligence.com/reports/TALOS-2016-0219/

·         CVE-2016-8705 POC下载地址：http://www.talosintelligence.com/reports/TALOS-2016-0220/

·         CVE-2016-8706 POC下载地址：http://www.talosintelligence.com/reports/TALOS-2016-0221/

漏洞影响范围：

启用Binary协议的Memcached 1.4.32以及之前版。

漏洞修复方案：

1.     升级官方最新版本：1.4.33。下载地址：http://www.memcached.org/files/memcached-1.4.33.tar.gz

2.     限制访问Memcached 11211端口的权限。例如：禁止对外网开放，限制访问11211端口的IP地址和端口等；

脏牛（Dirty Cow）Linux 内核本地提权漏洞

漏洞编号： CVE-2016-5195

漏洞描述和危害：

Linux内核的内存子系统在处理写入时复制（copy-on-write, COW）时产生了竞争条件（race condition）。恶意用户可利用此漏洞以欺骗系统修改可读的用户空间代码然后执行，一个低权限的本地用户能够利用此漏洞获取其他只读内存映射的写权限。

黑客可以通过远程入侵获取低权限用户后，在服务器本次利用该漏洞在全版本Linux系统上实现本地提权，从而获取到服务器root权限。

漏洞利用条件：

漏洞影响范围：

该漏洞在全版本Linux系统（Linux kernel >= 2.6.22）均可以实现提权：

CentOS 6.5  32位/64位  

CentOS 7.1  32位/64位  

Debian 7.5  64位

Debian 8.1  64位

Ubuntu Server 12.04.4 LTS 32位/64位

Ubuntu Server 14.04.1 LTS 32位/64位

复制

漏洞修复方案：

我们建议您使用以下方式提前进行自查并完善现有安全策略：

1.     因为涉及到操作系统内核的升级，我们强烈建议您：正确关闭正在运行的服务，并做好业务数据备份工作。同时创建服务器磁盘快照，避免修复失败造成不可逆的影响。

2.     使用uname –r查看Linux系统的内核版本，比照【影响版本】确认是否在受影响版本范围，如果在受影响版本，则可按照如下修复方法进行修复：

3.     【CentOS 6用户】：

4.  1. yum update kernel，更新当前内核版本

5.      2. reboot，重启生效

6.      3. uname -r，检查当前版本是否为2.6.32-642.6.2.el6.x86_64版本，如果是，则说明修复成功。

7.  复制

8.     【CentOS 7用户】：

9.  1. yum update kernel，更新当前内核版本

10.     2. reboot，重启生效

11.     3. uname -r，检查当前版本是否为3.10.0-327.36.3.el7.x86_64版本，如果是，则说明修复成功。

12. 复制

13.  【Ubuntu 12.04用户】：

14. 1. sudo apt-get update;sudo apt-get install linux-image-generic，进行系统更新

15.     2. sudo reboot，更新后重启系统生效

16.     3. uname -r，检查当前版本是否为3.2.0-113.155版本，如果是，则说明修复成功。

17. 复制

18.  【Ubuntu 14.04用户】：

19. 1. sudo apt-get update;sudo apt-get install linux-image-generic，进行系统更新

20.     2. sudo reboot，更新后重启系统生效

21.     3. uname -r，检查当前版本是否为3.13.0-100版本，如果是，则说明修复成功。

22. 复制

23.  【Debian 7用户】：

24. 1. apt-get update;apt-get upgrade,进行系统更新

25.     2. reboot,更新后重启系统生效

26.     3. sudo dpkg --list | grep linux-image，检查当前版本是否为3.2.82-1版本，如果是，则说明修复成功。

27. 复制

28.  【Debian 8用户】：

29. 1. apt-get update;apt-get upgrade,进行系统更新

30.     2. reboot,更新后重启系统生效

31.     3. dpkg --list | grep linux-image，检查当前版本是否为3.16.36-1+deb8u2版本，如果是，则说明修复成功。

32. 复制

33.  参考信息：

34. http://dirtycow.ninja

35. https://github.com/dirtycow

36. https://access.redhat.com/security/cve/CVE-2016-5195

37. https://security-tracker.debian.org/tracker/CVE-2016-5195

38. http://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-5195.html

39. https://www.suse.com/security/cve/CVE-2016-5195.html

40. http://people.canonical.com/~ubuntu-security/cve/2016/CVE-2016-5195.html

41. https://security-tracker.debian.org/tracker/CVE-2016-5195

42. 复制

43. OpenSSL 远程拒绝服务漏洞

漏洞编号： CVE-2016-8610

漏洞描述和危害：

“SSL Death Alert”- 红色警戒漏洞。

在 OpenSSL 针对 SSL/TLS 协议握手过程的实现中，允许客户端重复发送打包的SSL3_RT_ALERT -> SSL3_AL_WARNING类型明文未定义警告包。同时，OpenSSL 的代码中在遇到未定义警告包时会选择忽略并继续处理接下来的通信内容（如果有的话）。

攻击者可以利用该缺陷在一个消息中打包大量未定义类型警告包，使服务或进程陷入无意义的循环，从而导致进程100%的 CPU 使用率,该漏洞影响到互联网广泛提供HTTPS(包括SSL和TLS协议)服务的Nginx。

漏洞影响范围：

OpenSSL All 0.9.8

OpenSSL All 1.0.1

OpenSSL 1.0.2 through 1.0.2h

OpenSSL 1.1.0

复制

不受影响的版本：

OpenSSL 1.0.2i, 1.0.2j

OpenSSL 1.1.0a, 1.1.0b

复制

漏洞修复方案：

将OpenSSL升级到最新版：

OpenSSL 1.1.0应升级到1.1.0b或更高版本

OpenSSL 1.0.2应升级到1.0.2j或更高版本

OpenSSL 1.0.1应升级到1.0.2或更高版本

复制

MySQL 代码执行漏洞

漏洞编号： CVE-2016-8610

漏洞描述和危害：

攻击者仅需有FILE权限即可实现ROOT提权，进而控制服务器。

漏洞影响范围：

MySQL 小于等于 5.7.15 版本，小于等于 5.6.33 版本，小于等于 5.5.52 版本

Mysql分支版本也受影响,包括 MariaDB、PerconaDB。

漏洞修复方案：

升级到官方最新版本：

·         MySQL：http://dev.mysql.com/downloads/mysql/

·         MariaDB：https://mariadb.com/kb/en/mariadb/mariadb-5552-release-notes/

·         PerconaServer：https://www.percona.com/downloads/Percona-Server-5.7/LATEST/

·         PerconaXtraDB Cluster：https://www.percona.com/downloads/Percona-XtraDB-Cluster-57/LATEST/