转载

【FreeBuf年终策划】2016十大安全漏洞

信息安全是网络世界中,一个永远无法回避的话题。一些敏感重要数据的泄露,将会直接造成巨大的经济损失。一些利用价值较高的零日漏洞,被一些黑客放在深网论坛上,以比特币的交易形式公开叫卖。然而,一旦这些漏洞被供应商修复,很少会被披露出来。

在过去的一年里,统计共有超过6400个CVE编码的常见漏洞被披露。以下我将列举出2016年十大较为知名的安全漏洞:

1. Dirty Cow (脏牛)(CVE-2016-5195)

脏牛漏洞最初是由 Phil Oester 发现的, Dirty Cow 是一个内核级的漏洞,它允许任何未授权现有用户,将其权限提权为 root。 Root 是任何 UNIX 或 LINUX 系统的最高权限,因此一旦攻击者成功利用该漏洞,将直接可以访问到目标系统的所有文件。 COW(写入时更改)是 Linux 用来减少内存对象重复的技术。通过利用竞争条件,低权限用户可以修改只读对象,这在常规情况下是不可能发生的。如果你是系统管理员,则可能需要通过更新 Linux 服务器的内核,来修复该漏洞。

2. PHPMailer RCE (CVE-2016-10033, CVE-2016-10045)

PHPMailer 是 PHP 中,使用最广泛的电子邮件发送库之一。独立研究人员 Dawid Golunski 发现了,其存在远程代码执行漏洞。任何攻击者都可以使用该漏洞,在 Web 服务器上执行 shell 命令。导致这种情况的发生,是因为电子邮件地址头字段“From:”可以由用户任意输入设置,但却没有“sender”属性。因此,如果用户在“From:”中设置了 shell 命令,那么它将导致 RCE(远程代码执行)。因此,如果你当前使用的 PHPMailer版本小于5.2.18,那么请尽快将它升级到最新版本。

3. ImageTragick (CVE-2016-3714)

ImageTragick 命令执行漏洞,被认为是2016年最具影响力的漏洞之一,它最初是由 Nikolay Ermishki 发现的。命令执行漏洞是出在ImageMagick对https形式的文件处理的过程中。ImageMagick内置了非常多的图像处理库,对于这些图像处理库,ImageMagick给他起了个名字叫做“Delegate”(委托),每个Delegate对应一种格式的文件,然后通过系统的system()命令来调用外部的程序对文件进行处理,从而造成了命令执行漏洞的产生。这个漏洞被大量利用,许多组织网站被发现,都极易受ImageTragick漏洞的攻击,如Hackerone的公开披露等。

4. DROWN(溺亡) (CVE-2016-0800)

DROWN(解密RSA使用过时和弱化的eNcryption)利用了SSLv2中的缺陷,允许攻击者解密使用TLS或SSL的通信。它被归类为跨协议攻击。 如果在受害者的服务器上启用了SSLv2,则极易受到DROWN攻击。互联网中有大约1100万站点或者服务受到此漏洞影响。这是 OpenSSL 给出的建议。

5. Apple OS X 和 iOS 远程代码执行(CVE-2016-4631)

图像,我们都知道本身它是无害的。然而,这个漏洞就是利用了这样一张看似无害的,却是由攻击者恶意制作出来的图像进行攻击的。这个漏洞被编号为 CVE-2016-4631,是由安全研究员Tyler Bohan从 Talos Security 发现的。这个严重的安全漏洞(CVE-2016-4631)存在于iOS的ImageIO框架中。ImageIO框架其本质是一个应用程序编程接口(API),它可以为几乎所有的苹果操作系统处理各种图片数据,包括Mac OS X,watchOS,以及tvOS等苹果设备的操作平台。标签图像文件格式(TIFF)图片,可以被用来创建基于堆的缓冲区溢出,最终导致远程代码执行。

6. Chrome OS 持久代码执行 (CVE-2016-5180)

Google 在其版本为 53.0.2785.143 m 的 Chrome 更新中,发布了 Chrome OS 的安全修复补丁。同时向发现并提交该漏洞的匿名安全研究员,支付了100,000美元的奖金。Google 表示,“这是一个漏洞利用链,在客户端模式下跨越重启,并通过所提供的网页来获得代码执行权限。预计在不久以后,我们还将增加一些强化措施,来更好的防止该类漏洞发生。”

7. MS16-032

如果 Windows 辅助登录服务,无法正确管理内存中的请求句柄,则可能造成本地提权漏洞。该漏洞是由 James Forshaw 发现的。简单来说,这个漏洞允许任何人泄漏一个 handle 句柄,从一个特权进程转换为一个较低权限的进程。这个漏洞可以说是一个 Windows 高版本通杀型漏洞,从 Windows 7 到 Windows 10,包括 Windows Server 2008-2012 中,均发现了该漏洞。

8. Firefox SVG Animation 远程执行代码(CVE-2016-9079)

该漏洞是一个存在于 SVG Animation 模块中的释放后重用(UAF)漏洞,当用户使用Firefox浏览包含恶意Javascript和SVG代码的页面时,会允许攻击者在用户的机器上远程执行代码。攻击者利用该漏洞,对Windows用户的Firefox和Tor浏览器进行了针对性的攻击,并可能获取到了部分匿名用户的真实IP。分析认为,一些情报机构可能利用了该漏洞,来收集个人信息。受该漏洞影响的平台包括Windows,Mac OS以及Linux。请使用Firefox浏览器的用户及时升级到最新版本。

9. Adobe Flash 远程代码执行 (CVE-2016-7892)

Adobe Flash 的漏洞历史,可谓由来已久。仅在这个月 Adobe 就修补了31个安全漏洞。其中最重要的就是关于 use-after-free 漏洞的修复补丁。Adobe 已知悉 CVE-2016-7892 漏洞被野外利用,但案例相对有限,其主要攻击 Windows 平台上运行 32 位 Internet Explore 浏览器的用户。

10.赛门铁克/诺顿反病毒引擎远程Heap/Pool内存损坏漏洞(CVE-2016-2208)

谷歌的 Project Zero 团队,发现了赛门铁克/诺顿反病毒引擎中,存在远程Heap/Pool内存损坏漏洞。利用该漏洞,攻击者可以执行恶意攻击代码,并完全控制目标系统。通过使用赛门铁克反病毒引擎,向用户发送电子邮件或链接,就可以触发该漏洞,并导致内存损坏,Windows系统蓝屏。在Linux、Mac和UNIX平台上,攻击者可利用该漏洞以root权限在Symantec或Norton进程中导致远程堆溢出。供应商在一个月内,发布了该漏洞的修复补丁。

*参考来源 infosecinstitute ,FB小编 secist 编译,转载请注明来自FreeBuf(FreeBuf.COM)

原文  http://www.freebuf.com/vuls/125559.html
正文到此结束
Loading...