备案控制台
开发者社区 安全 文章 正文

绿盟科技网络安全威胁周报2017.09 请关注MSIE Edge任意代码执行漏洞CVE-2017-0037

2017-09-01 1786
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

绿盟科技发布了本周安全通告，周报编号NSFOCUS-17-09，绿盟科技漏洞库本周新增41条，其中高危16条。本次周报建议大家关注Microsoft Internet Explorer/Edge任意代码执行漏洞 CVE-2017-0037 。攻击者通过精心构造的网页可以达到远程代码执行的目的。目前尚无任何补丁，建议大家暂时停用IE和Edge。

Microsoft Internet Explorer/Edge任意代码执行漏洞

  • NSFOCUS ID 35978
  • CVE ID CVE-2017-0037

受影响版本

  • Microsoft Internet Explorer 11
  • Microsoft Edge

漏洞点评

Microsoft Internet Explorer 11/Microsoft Edge在实现上存在类型混淆漏洞，此漏洞位于mshtml.dll内的Layout::MultiColumnBoxBuilder::HandleColumnBreakOnColumnSpanningElement函数中。攻击者通过精心构造的网页可以达到远程代码执行的目的。目前尚无任何补丁，建议大家暂时停用IE和Edge。

（数据来源：绿盟科技安全研究部&产品规则组）

互联网安全态势

CVE统计

cve-201709.png

最近一周CVE公告总数与前期相比有所下降。值得关注的高危漏洞如下：

cvss-201709.png

威胁热点信息回顾

  • Cloudflare敏感数据泄露事件 程序员出面解释 但google研究员并不满意

    • 链接：http://securityaffairs.co/wordpress/56617/data-breach/cloudbleed-cloudflare-flaw.html
    • 简述：Cloudflare was leaking a wide range of sensitive information, including authentication cookies and login credentials, the flaw was dubbed Cloudbleed.
  • CVE-2017-0037 – Google Project Zero discloses another unpatched Microsoft Edge and IE Vulnerability

    • 链接：http://securityaffairs.co/wordpress/56716/hacking/cve-2017-0037-microsoft-flaw.html
    • 简述：The researchers at Google’s Project Zero have revealed another flaw, tracked as CVE-2017-0037, that affects Microsoft Edge and IE.
  • 垃圾邮件、勒索软件、DDoS攻击三合一 Necurs僵尸网络正在不断联合壮大自己

    • 链接：http://securityaffairs.co/wordpress/56725/malware/necurs-botnet-ddos.html
    • 简述：The Necurs botnet is evolving and recently the experts at BitSight’s Anubis Labs discovered that it was improved to launch DDoS attacks.
  • Amazon Web Services suffer massive outage taking popular sites down

    • 简述:If you were surfing the Internet about 3 hours ago and couldn’t reach some of your favorite websites, then don’t worry since you were not the only one facing the issue. In fact, users worldwide were unable to reach RunKeeper, Medium, Trello, Imgur, Giphy, Soundcloud, Quora, Business Insider, Coursera, and Time Inc and many other websites.
    • 链接：https://www.hackread.com/amazon-cloud-service-suffers-massive-outage/
  • Unpatched SMB Zero Day Easily Exploitable

    • 简述：In what’s turning out to be the zero day that keeps on giving, researchers are still finding ways to exploit an unpatched denial of service vulnerability that exists in the way Windows implements the Server Message Block protocol.
    • 链接：https://threatpost.com/unpatched-smb-zero-day-easily-exploitable/123963/
  • Critical Flaw in ESET Antivirus Exposes Mac Users to Remote Hacking

    • 简述：What could be more exciting for hackers than exploiting a vulnerability in a widely used software without having to struggle too much?
    • 链接：http://thehackernews.com/2017/02/eset-antivirus-mac.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29
  • AtomBombing内存注入技术有应用了 Dridex银行木马用它成功绕开了防病毒软件 攻击英国银行

    • 简介：Security researchers have discovered a new variant of Dridex – one of the most nefarious banking Trojans actively targeting financial sector – with a new, sophisticated code injection technique and evasive capabilities called “AtomBombing.”
    • 链接：http://thehackernews.com/2017/03/dridex-atombombing-malware.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29
  • Million-Plus WordPress Sites Exposed by Vulnerable Plugin

    • 简介：A popular WordPress gallery plugin with more than one million active installations was recently patched to address a vulnerability exposing website databases to attack.The NextGEN Gallery is a photo gallery management system used by professional photographers and artists upload, sort and group galleries. It’s been downloaded more than 16 million times since it was developed in 2007.
    • 链接：https://threatpost.com/million-plus-wordpress-sites-exposed-by-vulnerable-plugin/123983/
  • 意义重大 云安全公司Zscaler云管理软件出现跨站攻击漏洞 得手后或者伪装诈骗或者DDoS都可以啊

    • 简介：Zscaler has fixed persistent XSS vulnerabilities affecting Zscaler Cloud management software that allow logged attackers to hack coworkers.
    • 链接：http://securityaffairs.co/wordpress/56776/hacking/zscaler-cloud-management-software-flaws.html
  • Yahoo Reveals 32 Million Accounts Were Hacked Using ‘Cookie Forging Attack’

    • 简述：Yahoo has just revealed that around 32 million user accounts were accessed by hackers in the last two years using a sophisticated cookie forging attack without any password.
    • 链接：http://thehackernews.com/2017/03/yahoo-cookie-forging-hack.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29
  • How A Simple Command Typo Took Down Amazon S3 and Big Chunk of the Internet

    • 简述：Amazon on Thursday admitted that an incorrectly typed command during a routine debugging of the company’s billing system caused the 5-hour-long outage of some Amazon Web Services (AWS) servers on Tuesday.
    • 链接：http://thehackernews.com/2017/03/amazon-web-storage.html

（数据来源：绿盟科技 威胁情报与网络安全实验室 收集整理）

绿盟科技漏洞研究

绿盟科技漏洞库新增41条

截止到2017年3月3日，绿盟科技漏洞库已收录总条目达到36017条。本周新增漏洞记录41条，其中高危漏洞数量16条，中危漏洞数量19条，低危漏洞数量6条。

vul-nsf-201709-1.png

vul-nsf-201709-2.png

  • Linux Kernel本地拒绝服务漏洞（CVE-2017-6074）

    • 危险等级:高
    • BID:96310
    • cve编号:CVE-2017-6074
  • Microsoft Internet Explorer/Edge任意代码执行漏洞（CVE-2017-0037）

    • 危险等级:高
    • cve编号:CVE-2017-0037
  • QEMU ‘VIRTIO_GPU_CMD_SET_SCANOUT()’拒绝服务漏洞（CVE-2016-10029）

    • 危险等级:高
    • BID:94978
    • cve编号:CVE-2016-10029
  • QEMU ‘virtio-gpu-3d.c’拒绝服务漏洞（CVE-2016-10028）

    • 危险等级:高
    • BID:94981
    • cve编号:CVE-2016-10028
  • tnef src/mapi_attr.c:mapi_attr_read()安全漏洞（CVE-2017-6307）

    • 危险等级:高
    • cve编号:CVE-2017-6307
  • Linux kernel do_shmat函数安全限制绕过漏洞（CVE-2017-5669）

    • 危险等级:高
    • cve编号:CVE-2017-5669
  • tnef file_add_mapi_attrs()函数类型混淆漏洞（CVE-2017-6310）

    • 危险等级:高
    • cve编号:CVE-2017-6310
  • tnef parse_file()函数类型混淆漏洞（CVE-2017-6309）

    • 危险等级:高
    • cve编号:CVE-2017-6309
  • tnef 整数溢出漏洞（CVE-2017-6308）

    • 危险等级:高
    • cve编号:CVE-2017-6308
  • ImageMagick ReadVICARImage函数远程拒绝服务漏洞（CVE-2015-8903）

    • 危险等级:低
    • cve编号:CVE-2015-8903
  • ImageMagick ReadBlobByte函数远程拒绝服务漏洞（CVE-2015-8902）

    • 危险等级:低
    • cve编号:CVE-2015-8902
  • ImageMagick ReadHDRImage远程拒绝服务漏洞（CVE-2015-8900）

    • 危险等级:低
    • cve编号:CVE-2015-8900
  • ImageMagick 远程拒绝服务漏洞（CVE-2015-8901）

    • 危险等级:低
    • cve编号:CVE-2015-8901
  • Apple macOS/watchOS/iOS远程欺骗漏洞（CVE-2016-7662）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7662
  • Apple macOS/iOS远程权限提升漏洞（CVE-2016-7661）

    • 危险等级:高
    • BID:94906
    • cve编号:CVE-2016-7661
  • Apple macOS/watchOS/iOS/tvOS远程权限提升漏洞（CVE-2016-7660）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7660
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7658）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7658
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7659）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7659
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7663）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7663
  • Apple iOS信息泄露漏洞（CVE-2016-7664）

    • 危险等级:低
    • BID:94850
    • cve编号:CVE-2016-7664
  • Apple macOS/watchOS/iOS/tvOS远程信息泄露漏洞（CVE-2016-7714）

    • 危险等级:低
    • cve编号:CVE-2016-7714
  • Apple iOS拒绝服务漏洞（CVE-2016-7665）

    • 危险等级:中
    • BID:94850
    • cve编号:CVE-2016-7665
  • Apple Transporter信息泄露漏洞（CVE-2016-7666）

    • 危险等级:中
    • BID:94912
    • cve编号:CVE-2016-7666
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7667）

    • 危险等级:高
    • cve编号:CVE-2016-7667
  • Linux kernel ip_cmsg_recv_checksum拒绝服务漏洞(CVE-2017-6347)

    • 危险等级:中
    • cve编号:CVE-2017-6347
  • Linux kernel net/sctp/socket.c拒绝服务漏洞(CVE-2017-6353)

    • 危险等级:中
    • cve编号:CVE-2017-6353
  • Linux kernel hashbin_delete拒绝服务漏洞(CVE-2017-6348)

    • 危险等级:中
    • cve编号:CVE-2017-6348
  • Linux kernel LLC子系统拒绝服务漏洞(CVE-2017-6345)

    • 危险等级:中
    • cve编号:CVE-2017-6345
  • Linux kernel net/packet/af_packet.c拒绝服务漏洞(CVE-2017-6346)

    • 危险等级:中
    • cve编号:CVE-2017-6346
  • GNU C Library iconv拒绝服务漏洞(CVE-2016-10228)

    • 危险等级:中
    • cve编号:CVE-2016-10228
  • ImageMagick 安全限制绕过漏洞(CVE-2016-10060)

    • 危险等级:中
    • BID:95208
    • cve编号:CVE-2016-10060
  • ImageMagick 拒绝服务漏洞(CVE-2016-10063)

    • 危险等级:中
    • BID:95210
    • cve编号:CVE-2016-10063
  • ImageMagick 安全限制绕过漏洞(CVE-2016-10062)

    • 危险等级:中
    • BID:95209
    • cve编号:CVE-2016-10062
  • ImageMagick 拒绝服务漏洞(CVE-2016-10071)

    • 危险等级:中
    • BID:95222
    • cve编号:CVE-2016-10071
  • ImageMagick 安全限制绕过漏洞(CVE-2016-10069)

    • 危险等级:中
    • BID:95216
    • cve编号:CVE-2016-10069
  • ImageMagick 拒绝服务漏洞(CVE-2016-10068)

    • 危险等级:中
    • BID:95219
    • cve编号:CVE-2016-10068
  • ImageMagick 拒绝服务漏洞(CVE-2016-10067)

    • 危险等级:中
    • BID:95220
    • cve编号:CVE-2016-10067
  • ImageMagick 拒绝服务漏洞(CVE-2016-10064)

    • 危险等级:中
    • BID:95211
    • cve编号:CVE-2016-10064
  • WordPress Mobile App Native插件远程文件上传漏洞(CVE-2017-6104)

    • 危险等级:中
    • cve编号:CVE-2017-6104
  • WordPress AnyVar 跨站脚本攻击漏洞(CVE-2017-6103)

    • 危险等级:中
    • cve编号:CVE-2017-6103
  • WordPress rockhoist-badges跨站脚本攻击漏洞(CVE-2017-6102)

    • 危险等级:中
    • cve编号:CVE-2017-6102

（数据来源：绿盟科技安全研究部&产品规则组）



原文发布时间：2017年3月24日 

本文由：绿盟科技发布，版权归属于原作者

原文链接：http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-201709

本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站

文章标签：
DDoS防护
安全
iOS开发
Linux
Web App开发
网络安全
关键词：
网络安全漏洞
网络漏洞
网络代码
科技网络
网络安全代码执行
晚来风急
目录
相关文章
游客qf4jmczx4xu2y
|
23小时前
|
SQL 安全 算法
网络防御的前线：探索网络安全漏洞、加密技术与安全意识
【6月更文挑战第29天】在数字化时代的浪潮中，网络安全成为维护信息完整性和隐私保护的关键。本文深入探讨了网络安全中的常见漏洞、先进的加密技术以及提升个人和组织的安全意识的重要性。通过分析最新的安全威胁和防御策略，我们旨在为读者提供一系列实用的知识分享，以增强他们在日益复杂的网络环境中的安全防护能力。
游客qf4jmczx4xu2y
4 1
muxiaoxi
|
1天前
|
监控 安全 网络安全
网络安全与信息安全：漏洞、加密技术与安全意识的交汇
在数字化时代，网络安全和信息安全的重要性愈发凸显。本文深入探讨了网络安全漏洞的识别与防范、加密技术的应用与发展以及提升个人和企业的安全意识。通过分析最新的研究数据和案例，文章揭示了网络威胁的复杂性，并提供了实用的防护策略和建议，旨在增强读者对网络安全挑战的认识，并鼓励采取积极措施以保护数字资产。
muxiaoxi
7 1
技术混子
|
23小时前
|
SQL 安全 网络安全
网络安全与信息安全：漏洞、加密与意识的三重奏
【6月更文挑战第29天】在数字化时代的交响乐中，网络安全与信息安全是不可或缺的乐章。本文将深入探讨网络安全的脆弱之处——安全漏洞，解析保护数据隐私的利剑——加密技术，并强调培养网络安全意识的重要性。通过这三个方面的知识分享，旨在为读者提供一场关于网络防御的视听盛宴，让每个人都能成为维护网络安全的指挥家。
技术混子
4 0
18569931318
|
1天前
|
存储 安全 网络安全
网络安全与信息安全：漏洞防范、加密技术与安全意识的重要性
在当今高度数字化的社会中，网络安全和信息安全日益成为人们关注的焦点。本文探讨了网络安全中的漏洞防范策略、先进的加密技术及其应用，以及提升个人和组织安全意识的重要性。通过深入分析和案例研究，展示了如何有效应对网络威胁，保护个人隐私和敏感信息，建设更加安全的数字化环境。
18569931318
7 0
游客nmbcre4jd7shs
|
1天前
|
存储 安全 网络安全
网络安全与信息安全：漏洞、加密技术及安全意识
在数字化时代，网络安全和信息安全成为关键议题。本文深入探讨了网络安全漏洞的成因、影响及对策，分析了加密技术在保护数据中的作用及其局限性，并强调了提升个人和组织的安全意识的重要性。通过引用最新的研究数据和案例分析，文章旨在为读者提供关于如何加强网络安全防护的实用建议。
游客nmbcre4jd7shs
7 0
游客5fdji2pvmf8888
|
3天前
|
安全 Java 网络安全
网络安全与信息安全：漏洞、加密技术与安全意识的三重奏
在数字时代的交响乐中，网络安全和信息安全扮演着至关重要的角色。本文将深入探讨网络安全的脆弱性，包括常见漏洞及其潜在威胁；阐述加密技术如何作为数据保护的坚固盾牌，以及它在现代通信中的应用；强调培养安全意识的必要性，并分享提升个人和组织安全防御能力的策略。通过结合最新的研究成果和实际案例分析，本文旨在为读者提供一场关于网络空间安全的全面剖析，揭示保护我们数字生活的关键要素。
游客5fdji2pvmf8888
13 6
shuj
|
4天前
|
SQL 安全 算法
网络安全与信息安全：漏洞、加密与意识的三维防御
【6月更文挑战第25天】在数字化时代，网络安全和信息安全的重要性日益凸显。本文将探讨网络安全漏洞的概念、类型及其潜在影响；分析加密技术在保护数据安全中的作用以及常见的加密算法；并强调提升个人和组织的安全意识的必要性。通过这三个维度的深入讨论，旨在为读者提供一套全面的网络与信息安全知识框架，以增强防护能力，抵御日益复杂的网络威胁。
shuj
21 5
zhanbao
|
1天前
|
云安全 安全 网络安全
云计算与网络安全的博弈：探索云服务中的信息安全挑战与对策
在数字化时代，云计算作为推动企业创新和效率的关键力量，正面临着前所未有的网络安全威胁。本文通过深入分析云计算环境下的安全挑战，探讨了如何构建一个更加安全、可靠的云服务平台。结合最新的研究成果和行业报告，文章详细讨论了数据加密、访问控制、网络隔离等技术手段在提升云服务安全性中的应用，并提出了未来云计算安全的发展趋势。
zhanbao
10 1
shuj
|
4天前
|
SQL 安全 算法
网络安全漏洞与防御策略：保护信息安全的前沿技术
【6月更文挑战第26天】在数字化时代，网络安全成为维护个人隐私和组织资产的关键防线。本文深入探讨了网络安全中常见的漏洞类型、加密技术的进展以及提升安全意识的重要性。通过分析最新的防御机制和安全实践，旨在为读者提供一套全面的网络安全知识框架，强调预防措施的必要性并促进一个更加安全的网络环境。
shuj
8 3
游客5fdji2pvmf8888
|
2天前
|
SQL 安全 网络安全
网络安全与信息安全：漏洞、加密技术与安全意识的交汇
在数字化时代，网络安全和信息安全成为保护个人和企业数据的关键。本文深入探讨了网络安全漏洞的类型与影响，分析了加密技术如何加强数据保护，并强调了提升安全意识的重要性。通过综合研究与数据分析，揭示了网络安全面临的挑战，提出了有效的防护策略，旨在为读者提供全面的网络安全知识，促进更安全的数字环境。
游客5fdji2pvmf8888
7 1

热门文章

最新文章

  • 1
    深度学习中的卷积神经网络（CNN）详解
  • 2
    基于深度学习网络的鞋子种类识别matlab仿真
  • 3
    智能化运维：AIOps在未来网络管理中的应用与挑战
  • 4
    SPSS大学生网络购物行为研究：因子分析、主成分、聚类、交叉表和卡方检验
  • 5
    2023年河南省中等职业教育技能大赛网络建设与运维项目比赛试题（一）
  • 6
    R语言软件对房屋价格预测：回归、LASSO、决策树、随机森林、GBM、神经网络和SVM可视化|数据分享
  • 7
    【AI 初识】什么是卷积神经网络 （CNN）？
  • 8
    【网络建设与运维】2024年河北省职业院校技能大赛中职组“网络建设与运维”赛项例题（六）
  • 9
    BiTCN：基于卷积网络的多元时间序列预测
  • 10
    【AI 初识】递归神经网络 （RNN） 概念
  • 1
    【网络安全】网络安全基础必备技能
    49
  • 2
    构建未来：AI驱动的自适应网络安全防御系统
    53
  • 3
    网络安全与信息安全：防范网络攻击的关键策略
    21
  • 4
    网络安全与信息安全：加密技术下的安全意识重要性
    19
  • 5
    云端防御策略：融合云服务与网络安全的未来之路
    64
  • 6
    构筑数字堡垒：网络安全漏洞解析与防御策略
    31
  • 7
    网络安全与信息安全：加密技术与安全意识的重要性
    100
  • 8
    云计算与网络安全：技术前沿与挑战
    46
  • 9
    探索网络安全与信息安全：漏洞、加密技术与安全意识
    27
  • 10
    Python灰帽子网络安全实践
    26

    • 相关课程

    更多
  • 云计算工程师解析与实战-网络专家篇（体验版）
  • 云网络白皮书-阿里云网络系列课
  • 网络安全攻防 - Web渗透测试
  • 企业上云攻略-阿里云网络产品应用系列教程
  • Linux网络进阶 - TCP/IP协议及OSI七层模型
  • 网络管理者必知-2分钟了解新出台的《网络安全法》

    • 相关电子书

    更多
  • 《Visual Edge Computing Service视图计算产品发布介绍》PDF
  • 《边缘容器服务ACK@Edge》
  • 探秘边缘容器，ACK@Edge 商业化解读

    • 相关实验场景

    更多
  • 容器的网络入门
  • 容器的自定义网络
  • 容器的共享网络模型
  • 1分钟代码漏洞自动检测
    • 下一篇
    部署LAMP环境（Alibaba Cloud Linux 3）