AI 助理
备案控制台
开发者社区 安全 文章 正文

绿盟科技网络安全威胁周报2017.09 请关注MSIE Edge任意代码执行漏洞CVE-2017-0037

2017-09-01 1799
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

绿盟科技发布了本周安全通告，周报编号NSFOCUS-17-09，绿盟科技漏洞库本周新增41条，其中高危16条。本次周报建议大家关注Microsoft Internet Explorer/Edge任意代码执行漏洞 CVE-2017-0037 。攻击者通过精心构造的网页可以达到远程代码执行的目的。目前尚无任何补丁，建议大家暂时停用IE和Edge。

Microsoft Internet Explorer/Edge任意代码执行漏洞

  • NSFOCUS ID 35978
  • CVE ID CVE-2017-0037

受影响版本

  • Microsoft Internet Explorer 11
  • Microsoft Edge

漏洞点评

Microsoft Internet Explorer 11/Microsoft Edge在实现上存在类型混淆漏洞，此漏洞位于mshtml.dll内的Layout::MultiColumnBoxBuilder::HandleColumnBreakOnColumnSpanningElement函数中。攻击者通过精心构造的网页可以达到远程代码执行的目的。目前尚无任何补丁，建议大家暂时停用IE和Edge。

（数据来源：绿盟科技安全研究部&产品规则组）

互联网安全态势

CVE统计

cve-201709.png

最近一周CVE公告总数与前期相比有所下降。值得关注的高危漏洞如下：

cvss-201709.png

威胁热点信息回顾

  • Cloudflare敏感数据泄露事件 程序员出面解释 但google研究员并不满意

    • 链接：http://securityaffairs.co/wordpress/56617/data-breach/cloudbleed-cloudflare-flaw.html
    • 简述：Cloudflare was leaking a wide range of sensitive information, including authentication cookies and login credentials, the flaw was dubbed Cloudbleed.
  • CVE-2017-0037 – Google Project Zero discloses another unpatched Microsoft Edge and IE Vulnerability

    • 链接：http://securityaffairs.co/wordpress/56716/hacking/cve-2017-0037-microsoft-flaw.html
    • 简述：The researchers at Google’s Project Zero have revealed another flaw, tracked as CVE-2017-0037, that affects Microsoft Edge and IE.
  • 垃圾邮件、勒索软件、DDoS攻击三合一 Necurs僵尸网络正在不断联合壮大自己

    • 链接：http://securityaffairs.co/wordpress/56725/malware/necurs-botnet-ddos.html
    • 简述：The Necurs botnet is evolving and recently the experts at BitSight’s Anubis Labs discovered that it was improved to launch DDoS attacks.
  • Amazon Web Services suffer massive outage taking popular sites down

    • 简述:If you were surfing the Internet about 3 hours ago and couldn’t reach some of your favorite websites, then don’t worry since you were not the only one facing the issue. In fact, users worldwide were unable to reach RunKeeper, Medium, Trello, Imgur, Giphy, Soundcloud, Quora, Business Insider, Coursera, and Time Inc and many other websites.
    • 链接：https://www.hackread.com/amazon-cloud-service-suffers-massive-outage/
  • Unpatched SMB Zero Day Easily Exploitable

    • 简述：In what’s turning out to be the zero day that keeps on giving, researchers are still finding ways to exploit an unpatched denial of service vulnerability that exists in the way Windows implements the Server Message Block protocol.
    • 链接：https://threatpost.com/unpatched-smb-zero-day-easily-exploitable/123963/
  • Critical Flaw in ESET Antivirus Exposes Mac Users to Remote Hacking

    • 简述：What could be more exciting for hackers than exploiting a vulnerability in a widely used software without having to struggle too much?
    • 链接：http://thehackernews.com/2017/02/eset-antivirus-mac.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29
  • AtomBombing内存注入技术有应用了 Dridex银行木马用它成功绕开了防病毒软件 攻击英国银行

    • 简介：Security researchers have discovered a new variant of Dridex – one of the most nefarious banking Trojans actively targeting financial sector – with a new, sophisticated code injection technique and evasive capabilities called “AtomBombing.”
    • 链接：http://thehackernews.com/2017/03/dridex-atombombing-malware.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29
  • Million-Plus WordPress Sites Exposed by Vulnerable Plugin

    • 简介：A popular WordPress gallery plugin with more than one million active installations was recently patched to address a vulnerability exposing website databases to attack.The NextGEN Gallery is a photo gallery management system used by professional photographers and artists upload, sort and group galleries. It’s been downloaded more than 16 million times since it was developed in 2007.
    • 链接：https://threatpost.com/million-plus-wordpress-sites-exposed-by-vulnerable-plugin/123983/
  • 意义重大 云安全公司Zscaler云管理软件出现跨站攻击漏洞 得手后或者伪装诈骗或者DDoS都可以啊

    • 简介：Zscaler has fixed persistent XSS vulnerabilities affecting Zscaler Cloud management software that allow logged attackers to hack coworkers.
    • 链接：http://securityaffairs.co/wordpress/56776/hacking/zscaler-cloud-management-software-flaws.html
  • Yahoo Reveals 32 Million Accounts Were Hacked Using ‘Cookie Forging Attack’

    • 简述：Yahoo has just revealed that around 32 million user accounts were accessed by hackers in the last two years using a sophisticated cookie forging attack without any password.
    • 链接：http://thehackernews.com/2017/03/yahoo-cookie-forging-hack.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29
  • How A Simple Command Typo Took Down Amazon S3 and Big Chunk of the Internet

    • 简述：Amazon on Thursday admitted that an incorrectly typed command during a routine debugging of the company’s billing system caused the 5-hour-long outage of some Amazon Web Services (AWS) servers on Tuesday.
    • 链接：http://thehackernews.com/2017/03/amazon-web-storage.html

（数据来源：绿盟科技 威胁情报与网络安全实验室 收集整理）

绿盟科技漏洞研究

绿盟科技漏洞库新增41条

截止到2017年3月3日，绿盟科技漏洞库已收录总条目达到36017条。本周新增漏洞记录41条，其中高危漏洞数量16条，中危漏洞数量19条，低危漏洞数量6条。

vul-nsf-201709-1.png

vul-nsf-201709-2.png

  • Linux Kernel本地拒绝服务漏洞（CVE-2017-6074）

    • 危险等级:高
    • BID:96310
    • cve编号:CVE-2017-6074
  • Microsoft Internet Explorer/Edge任意代码执行漏洞（CVE-2017-0037）

    • 危险等级:高
    • cve编号:CVE-2017-0037
  • QEMU ‘VIRTIO_GPU_CMD_SET_SCANOUT()’拒绝服务漏洞（CVE-2016-10029）

    • 危险等级:高
    • BID:94978
    • cve编号:CVE-2016-10029
  • QEMU ‘virtio-gpu-3d.c’拒绝服务漏洞（CVE-2016-10028）

    • 危险等级:高
    • BID:94981
    • cve编号:CVE-2016-10028
  • tnef src/mapi_attr.c:mapi_attr_read()安全漏洞（CVE-2017-6307）

    • 危险等级:高
    • cve编号:CVE-2017-6307
  • Linux kernel do_shmat函数安全限制绕过漏洞（CVE-2017-5669）

    • 危险等级:高
    • cve编号:CVE-2017-5669
  • tnef file_add_mapi_attrs()函数类型混淆漏洞（CVE-2017-6310）

    • 危险等级:高
    • cve编号:CVE-2017-6310
  • tnef parse_file()函数类型混淆漏洞（CVE-2017-6309）

    • 危险等级:高
    • cve编号:CVE-2017-6309
  • tnef 整数溢出漏洞（CVE-2017-6308）

    • 危险等级:高
    • cve编号:CVE-2017-6308
  • ImageMagick ReadVICARImage函数远程拒绝服务漏洞（CVE-2015-8903）

    • 危险等级:低
    • cve编号:CVE-2015-8903
  • ImageMagick ReadBlobByte函数远程拒绝服务漏洞（CVE-2015-8902）

    • 危险等级:低
    • cve编号:CVE-2015-8902
  • ImageMagick ReadHDRImage远程拒绝服务漏洞（CVE-2015-8900）

    • 危险等级:低
    • cve编号:CVE-2015-8900
  • ImageMagick 远程拒绝服务漏洞（CVE-2015-8901）

    • 危险等级:低
    • cve编号:CVE-2015-8901
  • Apple macOS/watchOS/iOS远程欺骗漏洞（CVE-2016-7662）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7662
  • Apple macOS/iOS远程权限提升漏洞（CVE-2016-7661）

    • 危险等级:高
    • BID:94906
    • cve编号:CVE-2016-7661
  • Apple macOS/watchOS/iOS/tvOS远程权限提升漏洞（CVE-2016-7660）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7660
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7658）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7658
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7659）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7659
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7663）

    • 危险等级:高
    • BID:94905
    • cve编号:CVE-2016-7663
  • Apple iOS信息泄露漏洞（CVE-2016-7664）

    • 危险等级:低
    • BID:94850
    • cve编号:CVE-2016-7664
  • Apple macOS/watchOS/iOS/tvOS远程信息泄露漏洞（CVE-2016-7714）

    • 危险等级:低
    • cve编号:CVE-2016-7714
  • Apple iOS拒绝服务漏洞（CVE-2016-7665）

    • 危险等级:中
    • BID:94850
    • cve编号:CVE-2016-7665
  • Apple Transporter信息泄露漏洞（CVE-2016-7666）

    • 危险等级:中
    • BID:94912
    • cve编号:CVE-2016-7666
  • Apple macOS/watchOS/iOS/tvOS远程拒绝服务漏洞（CVE-2016-7667）

    • 危险等级:高
    • cve编号:CVE-2016-7667
  • Linux kernel ip_cmsg_recv_checksum拒绝服务漏洞(CVE-2017-6347)

    • 危险等级:中
    • cve编号:CVE-2017-6347
  • Linux kernel net/sctp/socket.c拒绝服务漏洞(CVE-2017-6353)

    • 危险等级:中
    • cve编号:CVE-2017-6353
  • Linux kernel hashbin_delete拒绝服务漏洞(CVE-2017-6348)

    • 危险等级:中
    • cve编号:CVE-2017-6348
  • Linux kernel LLC子系统拒绝服务漏洞(CVE-2017-6345)

    • 危险等级:中
    • cve编号:CVE-2017-6345
  • Linux kernel net/packet/af_packet.c拒绝服务漏洞(CVE-2017-6346)

    • 危险等级:中
    • cve编号:CVE-2017-6346
  • GNU C Library iconv拒绝服务漏洞(CVE-2016-10228)

    • 危险等级:中
    • cve编号:CVE-2016-10228
  • ImageMagick 安全限制绕过漏洞(CVE-2016-10060)

    • 危险等级:中
    • BID:95208
    • cve编号:CVE-2016-10060
  • ImageMagick 拒绝服务漏洞(CVE-2016-10063)

    • 危险等级:中
    • BID:95210
    • cve编号:CVE-2016-10063
  • ImageMagick 安全限制绕过漏洞(CVE-2016-10062)

    • 危险等级:中
    • BID:95209
    • cve编号:CVE-2016-10062
  • ImageMagick 拒绝服务漏洞(CVE-2016-10071)

    • 危险等级:中
    • BID:95222
    • cve编号:CVE-2016-10071
  • ImageMagick 安全限制绕过漏洞(CVE-2016-10069)

    • 危险等级:中
    • BID:95216
    • cve编号:CVE-2016-10069
  • ImageMagick 拒绝服务漏洞(CVE-2016-10068)

    • 危险等级:中
    • BID:95219
    • cve编号:CVE-2016-10068
  • ImageMagick 拒绝服务漏洞(CVE-2016-10067)

    • 危险等级:中
    • BID:95220
    • cve编号:CVE-2016-10067
  • ImageMagick 拒绝服务漏洞(CVE-2016-10064)

    • 危险等级:中
    • BID:95211
    • cve编号:CVE-2016-10064
  • WordPress Mobile App Native插件远程文件上传漏洞(CVE-2017-6104)

    • 危险等级:中
    • cve编号:CVE-2017-6104
  • WordPress AnyVar 跨站脚本攻击漏洞(CVE-2017-6103)

    • 危险等级:中
    • cve编号:CVE-2017-6103
  • WordPress rockhoist-badges跨站脚本攻击漏洞(CVE-2017-6102)

    • 危险等级:中
    • cve编号:CVE-2017-6102

（数据来源：绿盟科技安全研究部&产品规则组）



原文发布时间：2017年3月24日 

本文由：绿盟科技发布，版权归属于原作者

原文链接：http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-201709

本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站

文章标签：
DDoS防护
安全
iOS开发
Linux
Web App开发
网络安全
关键词：
网络漏洞
网络安全漏洞
网络代码
科技网络
网络安全代码执行
晚来风急
目录
相关文章
游客moiomvrp3vyac2
|
1天前
|
安全 网络协议 网络安全
网络安全与信息安全：漏洞、加密与意识的三重奏
【9月更文挑战第32天】在数字世界的交响乐中，网络安全是那不可或缺的乐章。本文将带您深入探索网络安全的三大主题：网络漏洞的识别与防范、加密技术的奥秘以及安全意识的重要性。通过深入浅出的方式，我们将一起揭开这些概念的神秘面纱，并学习如何在实际生活中应用它们来保护自己的数字足迹。让我们开始这场既刺激又富有教育意义的旅程，提升个人和组织的网络安全防御能力。
游客moiomvrp3vyac2
88 65
天下无贼001
|
2天前
|
存储 安全 网络安全
揭秘网络安全的盾牌与剑：漏洞防御与加密技术
【9月更文挑战第31天】在数字时代的浪潮中，网络安全和信息安全成为了保护个人隐私和企业资产的重要屏障。本文将通过浅显易懂的语言和生动的比喻，带你深入了解网络安全漏洞、加密技术的奥秘，以及如何培养安全意识。我们将一起探索网络安全的“盾牌”和“剑”，了解它们如何守护我们的数字世界。
天下无贼001
108 61
天下无贼001
|
2天前
|
存储 安全 网络安全
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【9月更文挑战第31天】在数字化时代，网络安全和信息安全成为了我们生活中不可或缺的一部分。本文将从网络安全漏洞、加密技术和安全意识等方面进行知识分享，帮助读者更好地了解和保护自己的网络安全。
天下无贼001
12 4
技术混子
|
2天前
|
存储 安全 算法
网络安全的盾牌与利剑：漏洞防范与加密技术解析
【9月更文挑战第31天】在数字时代的浪潮中，网络安全成为守护个人隐私和组织资产的重要屏障。本文将深入探讨网络安全中的两大关键要素：安全漏洞和加密技术。我们将从漏洞的类型、检测方法到如何有效修补，逐一剖析；同时，对加密技术的基本原理、应用实例进行详细解读。文章旨在为读者提供一套实用的网络安全知识框架，帮助提升网络防护意识和技能，确保在日益复杂的网络环境中保护好每一份数据。
技术混子
15 3
历年考试不作弊
|
4天前
|
存储 安全 网络安全
云计算与网络安全：技术融合下的信息安全新挑战
【9月更文挑战第29天】在数字化浪潮的推动下，云计算服务如雨后春笋般涌现，为各行各业提供了前所未有的便利和效率。然而，随着数据和服务的云端化，网络安全问题也日益凸显，成为制约云计算发展的关键因素之一。本文将从技术角度出发，探讨云计算环境下网络安全的重要性，分析云服务中存在的安全风险，并提出相应的防护措施。我们将通过实际案例，揭示如何在享受云计算带来的便捷的同时，确保数据的安全性和完整性。
历年考试不作弊
20 6
我不是游客20240119
|
4天前
|
SQL 安全 算法
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【9月更文挑战第29天】随着互联网的普及，网络安全问题日益严重。本文将介绍网络安全漏洞、加密技术以及安全意识等方面的内容，帮助读者了解网络安全的重要性，提高自身的网络安全意识。
我不是游客20240119
29 5
萝卜带泥
|
4天前
|
存储 SQL 安全
网络安全与信息安全：构建安全防线的关键策略
本文深入探讨了网络安全与信息安全领域的核心要素，包括网络安全漏洞、加密技术以及安全意识的重要性。通过对这些关键领域的分析，旨在为读者提供一套综合性的防护策略，帮助企业和个人在日益复杂的网络环境中保障数据安全。
萝卜带泥
16 4
历年考试不作弊
|
3天前
|
SQL 安全 程序员
网络安全与信息安全：关于网络安全漏洞、加密技术、安全意识等方面的知识分享
【9月更文挑战第30天】在数字化时代，网络安全和信息安全已成为全球关注的焦点。本文将探讨网络安全漏洞、加密技术以及提升安全意识的重要性。我们将通过代码示例，深入理解网络安全的基础知识，包括常见的网络攻击手段、防御策略和加密技术的实际应用。同时，我们还将讨论如何提高个人和企业的安全意识，以应对日益复杂的网络安全威胁。
历年考试不作弊
35 10
技术混子
|
2天前
|
SQL 安全 算法
数字时代的守护者：网络安全与信息安全的现代策略
【9月更文挑战第31天】在数字化时代，网络安全与信息安全成为保护个人隐私和企业资产的关键。本文将深入探讨网络安全漏洞的成因、加密技术的应用以及提升安全意识的重要性，旨在为读者提供防范网络威胁的策略和知识分享。
技术混子
18 7
技术混子
|
3天前
|
安全 网络安全 数据安全/隐私保护
数字时代的守护者：网络安全与信息安全的深度剖析
【9月更文挑战第30天】在数字化浪潮中，网络安全与信息安全成为我们不可忽视的盾牌。本文将深入探讨网络安全漏洞的形成、加密技术的应用以及提升安全意识的重要性，旨在为读者提供一套全面的网络安全知识体系。通过分析最新的网络攻击案例，我们将揭示防御策略和最佳实践，帮助个人和企业构筑坚固的数字防线。
技术混子
16 5

热门文章

最新文章

  • 1
    针对校园欺凌 英国拟向 Facebook 和 Twitter 征收网络安全税
  • 2
    报告称仅45%的企业对其网络安全有信心
  • 3
    辰信领创联合发起创新战略联盟 网络安全与人工智能融合提速
  • 4
    扩大传播面，让网络安全宣传更有力
  • 5
    AT&T、IBM等公司结成新的物联网网络安全联盟
  • 6
    网络安全亟待产出“批量专才”
  • 7
    AI 黑客会大规模进军网络安全领域吗？为时尚早，因为太贵了
  • 8
    美国科技公司针对中国网络安全新规提交反对意见
  • 9
    政策力推网络安全建设 千亿市场空间有望打开
  • 10
    【网络安全】护网系列-社工&溯源
  • 1
    如何在edge上安装拓展weTab
    75
  • 2
    查看edge浏览器插件的安装位置并将插件安装到别的浏览器
    202
  • 3
    Edge浏览器兼容性问题如何修复，这篇文章告诉你
    164
  • 4
    6款超实用的Edge浏览器插件，让你的浏览器瞬间开挂！
    277
  • 5
    【电脑知识】Edge浏览器的使用技巧（特别详细）
    172
  • 6
    使用selenium的edge浏览器登录某为
    69
  • 7
    解决selenium打开edge浏览器闪退问题
    267
  • 8
    6款开发必备的Chrome谷歌浏览器扩展（部分火狐、edge浏览器商店也可以用）
    104
  • 9
    解决2023新版Edge浏览器页面加载不出来问题
    255
  • 10
    Edge插件推荐
    148

    • 相关课程

    更多
  • 云计算工程师解析与实战-网络专家篇（体验版）
  • 云网络白皮书-阿里云网络系列课
  • 网络安全攻防 - Web渗透测试
  • 企业上云攻略-阿里云网络产品应用系列教程
  • Linux网络进阶 - TCP/IP协议及OSI七层模型
  • 网络管理者必知-2分钟了解新出台的《网络安全法》

    • 相关电子书

    更多
  • 如何面对网络安全问题的挑战？治理企业的IT是关键
  • 2016阿里安全峰会-网络安全与区块链
  • 2016阿里安全峰会—— 网络安全情报在企业侧的落地与实践

    • 相关实验场景

    更多
  • 前端开发基础2：VS Code和Edge的联动开发
  • 容器的网络入门
  • 容器的自定义网络
  • 容器的共享网络模型
  • 使用阿里云容器服务和容器网络文件系统搭建WordPress网站
  • 1分钟代码漏洞自动检测
    • 下一篇
    无影云桌面