聯(lián)系人：李女士
座機：010-59433750
手機：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
開放外部訪問需做好安全防護
因疫情的影響，學校開學延期，大部分教學任務從現(xiàn)場授課改成了網(wǎng)絡授課。為了保證高校全面開展在線教學的需要，CERNET網(wǎng)絡保障進入戰(zhàn)時管理，以保障主干網(wǎng)絡的通暢運行。除網(wǎng)絡保障外，各學校的信息系統(tǒng)服務保障也是當下重要任務。由于大量原本只能在校內(nèi)訪問的業(yè)務現(xiàn)在需要允許校外進行訪問，帶來了諸多的安全風險，在做好服務開放的同時也需要做好相關的安全評估。
近期要提防各類利用當前疫情中出現(xiàn)的熱點事件進行傳播的惡意程序。
.jpg)
近期新增嚴重漏洞評述：
1.微軟1月和2月的例行安全公告共修復了其多款產(chǎn)品存在的557個安全漏洞。受影響的產(chǎn)品包括：Windows 10 1909 & Windows Server v1909（100個）、Windows 10 1903 & Windows Server v1903（101個）、Windows 10 1809 & Windows Server 2019（101個）、Windows 8.1 & Server 2012 R2（75個）、Windows RT 8.1（70個）、Windows Server 2008（16個）、Windows 7 and Windows Server 2008R2（19個）、Windows Server 2012（49個）、Microsoft Edge(HTML)（7個）、Internet Explore（9個）和Microsoft Office-related software（11個）。其中需要特別關注的是IE瀏覽器遠程代碼執(zhí)行漏洞（CVE-2020-0674）和Exchange server遠程代碼執(zhí)行漏洞（CVE2020-0688），前者在1月時發(fā)現(xiàn)了少量的0day攻擊，該漏洞存在于IE瀏覽器腳本引擎jscrypt32.dll文件中，成功利用該漏洞的攻擊者可獲得和當前用戶相同的用戶權限，如果當前用戶以管理員權限登錄，攻擊者便能夠控制受影響的系統(tǒng)，進而安裝程序、更改或刪除數(shù)據(jù)、創(chuàng)建新賬戶等，該漏洞已經(jīng)在2月的更新中得到了修補。而第二個Exchange Server的漏洞則使得普通的郵箱用戶可以獲取郵件服務器的管理權限。該漏洞的詳細利用信息已經(jīng)被公開披露。建議用戶及系統(tǒng)管理員盡快安裝上述補丁程序。
2.Oracle2020年一季度的安全更新，修復了其多款產(chǎn)品存在的334個安全漏洞。本次安全更新提供了針對134個高危漏洞的補丁，有270個漏洞可被遠程利用。使用相關產(chǎn)品的管理員應根據(jù)自身的情況進行補丁升級。
3.Apache Tomcat是目前網(wǎng)絡上使用最為廣泛的輕量級java中間件服務。近期Apace Tomcat（9.0.31、8.5.51及7.0.100之前的版本）被曝出其服務中的AJP協(xié)議存在實現(xiàn)缺陷導致相關參數(shù)可被修改，攻擊者通過構造特定參數(shù)可以讀取服務器WebApp下的任意文件，要是服務器端同時存在文件上傳功能，攻擊者還可以上傳jsp程序來控制服務器。目前Apache已經(jīng)在最新版本的Tomcat中修補了該漏洞，建議使用Tomcat的服務員盡快對相關服務進行升級，暫時無法升級的可以在配置文件中關閉AJP Connector服務或是將該服務的服務端口監(jiān)聽到localhost（默認服務監(jiān)聽在tcp8009端口）。
4.2月底召開的RSA Conference2020安全大會上，有研究人員詳細披露了博通及賽普拉斯制造的WiFi芯片中存在的一個通用漏洞可能導致相關設備的無線鏈路被監(jiān)聽。該漏洞利用了接入設備與無線AP斷開關聯(lián)時出現(xiàn)的"弱點"，當用戶設備或訪問點受到攻擊導致網(wǎng)絡斷開時，設備會把所有未發(fā)送的數(shù)據(jù)幀放入發(fā)送緩沖區(qū)，然后嘗試繼續(xù)通過無線網(wǎng)絡發(fā)送。此時設備不是使用先前協(xié)商的會話密鑰來加密數(shù)據(jù)，而是使用由全零組成的密鑰，這就使得無線數(shù)據(jù)很容易被解密。博通和賽普拉斯的WiFi芯片被廣泛應用于各類無線設備中（包括蘋果、三星手機及pad及部分華碩及華為的AP中）。部分廠商目前已經(jīng)在設備上修補了該漏洞（如蘋果公司），其他廠商則需持續(xù)關注相關的更新動態(tài)。
(本文刊載于《中國教育網(wǎng)絡》雜志2020年2-3月合刊，作者為中國教育和科研計算機網(wǎng)應急響應組鄭先偉)