文章详情

短信预约-IT技能 免费直播动态提醒

请输入下面的图形验证码

提交验证

短信预约提醒成功

FBI和CISA披露十大常被利用漏洞

2024-12-24 17:43

关注

今日,网络安全和基础架构安全局(CISA)和联邦调查局(FBI)发布2016年至2019年以来最常被利用的十大安全漏洞。CISA和FBI通过国家网络意识系统发布了AA20-133A警报,让公共和私营部门组织更容易确定企业内部补丁的优先级。

[[325967]]

报告提及的十大漏洞包含:CVE-2017-11882,CVE-2017-0199,CVE-2017-5638,CVE-2012-0158 ,CVE-2019-0604,CVE-2017-0143,CVE-2018-4878,CVE-2017-8759,CVE-2015-1641和CVE-2018-7600。

根据美国政府的技术分析,攻击者最经常利用Microsoft的对象链接和嵌入(OLE)技术中的漏洞。OLE允许文档包含来自其他应用程序(如电子表格)的嵌入内容。在OLE之后,第二大易受攻击的技术是Apache Struts的Web框架。

在前10个漏洞中,来自伊朗、朝鲜和俄罗斯的国家黑客中最常利用的三个漏洞是CVE-2017-11882、CVE-2017-0199和CVE-2012-0158。其中,这三个漏洞均与Microsoft的OLE技术有关。

漏洞补丁更新需要安全技术人员能够保持系统持续运行,并且补丁能与其他软件相兼容。美国在2019年初发布的一项行业研究发现,攻击者最常利用的漏洞存在于Microsoft和Adobe Flash产品中,这可能是由于某些技术使用所致。该行业研究报告中被利用最多的10个漏洞中的4个也出现在该警报列表中。

报告中还提及针对每个漏洞做出相应的预防,尽可能减小漏洞利用的风险和损失。

1. CVE-2017-11882

漏洞产品:Microsoft Office 2007 SP3 / 2010 SP2 / 2013 SP1 / 2016产品

相关恶意软件:Loki,FormBook,Pony / FAREIT

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2017-11882

2. CVE-2017-0199

漏洞产品:Microsoft Office 2007 SP3 / 2010 SP2 / 2013 SP1 / 2016,Vista SP2,Server 2008 SP2,Windows 7 SP1,Windows 8.1

相关恶意软件:FINSPY,LATENTBOT,Dridex

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2017-0199

3. CVE-2017-5638

漏洞产品:Apache Struts 2 2.3.x之前的2.3.x和2.5.10.1之前的2.5.x

相关恶意软件:JexBoss

防范措施:升级到Struts 2.3.32或Struts 2.5.10.1

更多详情:

4. CVE-2012-0158

漏洞产品:Microsoft Office 2003 SP3、2007 SP2和SP3,以及2010 Gold和SP1;Office 2003 Web组件SP3;SQL Server 2000 SP4、2005 SP4和2008 SP2,SP3和R2; BizTalk Server 2002 SP1;Commerce Server 2002 SP4、2007 SP2和2009 Gold和R2; Visual FoxPro 8.0 SP1和9.0 SP2; 和Visual Basic 6.0

相关恶意软件:Dridex

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详情:

5. CVE-2019-0604

漏洞产品:Microsoft SharePoint

相关恶意软件:中国菜刀

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详细信息:http://nvd.nist.gov/vuln/detail/CVE-2019-0604

6. CVE-2017-0143

漏洞产品:Microsoft Windows Vista SP2;Windows Server 2008 SP2和R2 SP1; Windows 7 SP1;Windows 8.1; Windows Server 2012 Gold和R2;Windows RT 8.1;Windows 10 Gold,1511和1607;以及 和Windows Server 2016

关联的恶意软件:使用EternalSynergy和EternalBlue Exploit Kit进行多次攻击

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2017-0143

7. CVE-2018-4878

漏洞产品:28.0.0.161之前的Adobe Flash Player

关联的恶意软件:DOGCALL

防范措施:将Adobe Flash Player安装更新到最新版本

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2018-4878

8. CVE-2017-8759

漏洞产品:Microsoft .NET Framework 2.0、3.5、3.5.1、4.5.2、4.6、4.6.1、4.6.2和4.7

相关恶意软件:FINSPY,FinFisher,WingBird

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2017-8759

9. CVE-2015-1641

易受攻击的产品:Microsoft Word 2007 SP3,Office 2010 SP2,Word 2010 SP2,Word 2013 SP1,Word 2013 RT SP1,Mac版Word 2011,Office兼容包SP3,SharePoint Server 2010 SP2和2013 SP1上的Word Automation Services和Office Web Apps Server 2010 SP2和2013 SP1

相关恶意软件:UWarrior Toshliph

防范措施:使用最新的安全补丁更新受影响的Microsoft产品

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2015-1641

10. CVE-2018-7600

易受攻击的产品:7.58之前的Drupal,8.3.9之前的8.x,8.4.6之前的8.4.x和8.5.1之前的8.5.x

相关恶意软件:Kitty

防范措施:升级到Drupal 7或8核心的最新版本。

更多详细信息:https://nvd.nist.gov/vuln/detail/CVE-2018-7600

2020年安全漏洞风险

此外,美国政府还报告在2020年容易为黑客利用的一些安全问题:

1. CVE-2019-11510

漏洞产品:Pulse Connect Secure 9.0R1-9.0R3.3、8.3R1-8.3R7、8.2R1-8.2R12、8.1R1-8.1R15和Pulse Policy Secure 9.0R1-9.0R3.1、5.4R1-5.4R7、5.3 R1-5.3R12、5.2R1-5.2R12、5.1R1-5.1R15

防范措施:使用最新的安全补丁更新受影响的Pulse Secure设备。

2. CVE-2019-19781

易受攻击的产品:Citrix应用程序交付控制器,Citrix网关和Citrix SDWAN WANOP

防范措施:使用最新的安全补丁更新受影响的Citrix设备

3. Microsoft O365安全配置中的监督

漏洞产品:Microsoft O365

防范措施:遵循Microsoft O365安全建议

更多详细信息:https://www.us-cert.gov/ncas/alerts/aa20-120a

4. 企业网络安全弱点

脆弱产品:系统、网络和数据

防范措施:遵循网络安全最佳实践

更多详细信息:https://www.cisa.gov/cyber-essentials

 

来源:FreeBuf内容投诉

免责声明:

① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的,并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据,供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。

② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341

软考中级精品资料免费领

  • 历年真题答案解析
  • 备考技巧名师总结
  • 高频考点精准押题
  • 2024年上半年信息系统项目管理师第二批次真题及答案解析(完整版)

    难度     813人已做
    查看
  • 【考后总结】2024年5月26日信息系统项目管理师第2批次考情分析

    难度     354人已做
    查看
  • 【考后总结】2024年5月25日信息系统项目管理师第1批次考情分析

    难度     318人已做
    查看
  • 2024年上半年软考高项第一、二批次真题考点汇总(完整版)

    难度     435人已做
    查看
  • 2024年上半年系统架构设计师考试综合知识真题

    难度     224人已做
    查看

相关文章

发现更多好内容

猜你喜欢

AI推送时光机
位置:首页-资讯-后端开发
咦!没有更多了?去看看其它编程学习网 内容吧
首页课程
资料下载
问答资讯