綠盟科技釋出了本周安全通告，周報編号nsfocus-17-17，綠盟科技漏洞庫本周新增84條，其中高危40條。本次周報建議大家關注 squirrelmail 遠端代碼執行漏洞 。squirrelmail是以php編寫的基于标準的webmail包。squirrelmail 在1.4.22以前的版本中，由于在傳遞一個字元串給popen調用之前，沒有對其進行過濾和無害化處理。是以攻擊者有可能利用此漏洞在遠端伺服器上越權執行任意代碼。目前squirrelmail官方已經釋出相關修複更新檔，nsfocus建議您及時更新相關更新檔以降低威脅。
squirrelmail 遠端代碼執行漏洞
nsfocus id 36469
cve id cve-2017-7692
受影響版本
squirrelmail squirrelmail <= 1.4.22
漏洞點評
squirrelmail是以php編寫的基于标準的webmail包。squirrelmail 在1.4.22以前的版本中，由于在傳遞一個字元串給popen調用之前，沒有對其進行過濾和無害化處理。是以攻擊者有可能利用此漏洞在遠端伺服器上越權執行任意代碼。目前squirrelmail官方已經釋出相關修複更新檔，nsfocus建議您及時更新相關更新檔以降低威脅。
（資料來源：綠盟科技安全研究部&産品規則組）
最近一周cve公告總數與前期相比快速升高。值得關注的高危漏洞如下：
<a href="http://toutiao.secjia.com/jenkins-burst-4-vulnerabilities-cve-2017-1000356" target="_blank">軟體內建平台jenkins多個漏洞</a>
當地時間2017年4月26日（中原標準時間2017年4月27日），軟體內建平台jenkins官方釋出了安全通告，包含了更新修複程式，修複了數個安全漏洞（cve-2017-1000356，cve-2017-1000353，cve-2017-1000354，cve-2017-1000355）
http://blog.nsfocus.net/software-integration-platform-jenkins-multiple-vulnerabilities/
<a href="http://toutiao.secjia.com/microsoft-bypass-bounty-programs-honor-roll" target="_blank">微軟mbb緩解繞過獎勵計劃張榜了 top5中有騰訊peter hlavaty及綠盟科技zhang yunhai</a>
該計劃迄今為止支付的賞金總額超過150萬美金，騰訊科恩實驗室peter hlavaty及綠盟科技zhang yunhai進入前5，分别拿到6萬美金及1萬美金的獎勵
http://toutiao.secjia.com/microsoft-bypass-bounty-programs-honor-roll
<a href="http://toutiao.secjia.com/openstack-keystone-security-bypass-cve-2017-2673" target="_blank">openstack keystone身份驗證子產品出現安全繞過漏洞cve-2017-2673 已經出現漏洞利用工具</a>
開源平台openstack的身份驗證子產品keystone出現 安全繞過漏洞 ，黑客如果成功利用漏洞，可能繞過某些預期的安全限制，并執行未經授權的操作，并發動進一步的攻擊。
http://toutiao.secjia.com/openstack-keystone-security-bypass-cve-2017-2673
<a href="http://toutiao.secjia.com/firefox-nss-cve-2017-5461" target="_blank">火狐浏覽器firefox網絡安全服務出現記憶體破壞漏洞cve-2017-5461 攻擊者可能進行dos攻擊</a>
mozilla的網絡安全服務（nss）比較容易出現記憶體破壞漏洞。攻擊者可以利用這個漏洞，可以在執行受影響應用程式的使用者上下文中執行任意代碼。失敗的利用嘗試可能會導緻拒絕服務攻擊。
http://toutiao.secjia.com/firefox-nss-cve-2017-5461
<a href="http://toutiao.secjia.com/apt28-attacked-macron" target="_blank">法國家網絡安全局确認馬克龍團隊遭到攻擊 趨勢科技說是apt28幹的 apt28已成共用賬号</a>
之前已經美國威脅情報公司recorded future給出俄羅斯apt組織分析報告 ， 美國伯靈頓電力公司遭到入侵 稱捕獲俄羅斯“灰熊草原”代碼 ， x-agent間諜軟體變種正在攻擊mac系統 據稱與apt28有關 ，今天apt28把目光投在的法國總統候選人埃馬紐埃爾·馬克龍的競選活動上。
http://toutiao.secjia.com/apt28-attacked-macron
hipchat resets user passwords after possible breach
in some cases, messages in chat rooms may have been exposed, hipchat said.
http://www.csoonline.com/article/3192192/security/hipchat-resets-user-passwords-after-possible-breach.html#tk.rss_all
<a href="http://toutiao.secjia.com/2017-429-capital-security-day" target="_blank">首都網絡安全日</a>
“429首都網絡安全日”自2014年設立以來，經過三年的發展，已成為首都地區網絡安全行業的年度盛事和全國範圍内與行業間探讨交流網絡安全資訊的重要平台。本次大會，除了邀請到120多家明星展商外，同期舉辦11場網絡安全主題高峰論壇，将圍繞着網絡安全、人工智能、金融安全、智慧醫療、智能生活、智慧城市建設等内容進行深入交流探讨。
http://www.aqniu.com/vendor/24451.html
new scada flaws allow ransomware, other attacks
mission-critical control systems that don’t pose an obvious risk can be hijacked and leveraged for attacks by profit-driven cybercriminals and other threat actors, researchers warned.
http://www.securityweek.com/new-scada-flaws-allow-ransomware-other-attacks?utm_source=feedburner&utm_medium=feed&utm_campaign=feed%3a+securityweek+%28securityweek+rss+feed%29
（資料來源：綠盟科技 威脅情報與網絡安全實驗室 收集整理）
截止到2017年4月28日，綠盟科技漏洞庫已收錄總條目達到36578條。本周新增漏洞記錄84條，其中高危漏洞數量40條，中危漏洞數量30條，低危漏洞數量14條。
imagemagick 拒絕服務漏洞（cve-2017-7943）
危險等級:中
bid:97956
cve編号:cve-2017-7943
qemu ‘hw/display/cirrus_vga.c’ 遠端代碼執行漏洞（cve-2017-7980）
危險等級:高
bid:97955
cve編号:cve-2017-7980
qemu ‘hw/display/cirrus_vga_rop.h’多個記憶體破壞漏洞（cve-2017-7718）
bid:97957
cve編号:cve-2017-7718
mcafee 多個産品本地代碼注入漏洞（cve-2017-4028）
bid:97958
cve編号:cve-2017-4028
oracle webcenter sites遠端安全漏洞（cve-2017-3595）
bid:97887
cve編号:cve-2017-3595
apache traffic server拒絕服務漏洞（cve-2016-5396）
bid:97945
cve編号:cve-2016-5396
apache traffic server拒絕服務漏洞（cve-2016-5659）
bid:97949
cve編号:cve-2016-5659
imagemagick 拒絕服務漏洞（cve-2017-7941）
bid:97944
cve編号:cve-2017-7941
imagemagick 拒絕服務漏洞（cve-2017-7942）
bid:97946
cve編号:cve-2017-7942
oracle webcenter sites遠端安全漏洞（cve-2017-3603）
危險等級:低
bid:97907
cve編号:cve-2017-3603
oracle webcenter sites遠端安全漏洞（cve-2017-3591）
bid:97899
cve編号:cve-2017-3591
oracle webcenter sites遠端安全漏洞（cve-2017-3594）
bid:97901
cve編号:cve-2017-3594
oracle webcenter sites遠端安全漏洞（cve-2017-3597）
bid:97904
cve編号:cve-2017-3597
oracle webcenter sites遠端安全漏洞（cve-2017-3598）
bid:97905
cve編号:cve-2017-3598
oracle e-business suite遠端安全漏洞（cve-2017-3549）
bid:97748
cve編号:cve-2017-3549
oracle enterprise manager base platform遠端安全漏洞（cve-2017-3518）
bid:97720
cve編号:cve-2017-3518
oracle e-business suite遠端安全漏洞（cve-2017-3556）
bid:97785
cve編号:cve-2017-3556
oracle e-business suite遠端安全漏洞（cve-2017-3528）
bid:97780
cve編号:cve-2017-3528
oracle e-business suite遠端安全漏洞（cve-2017-3515）
bid:97783
cve編号:cve-2017-3515
oracle e-business suite遠端安全漏洞（cve-2017-3592）
bid:97777
cve編号:cve-2017-3592
oracle e-business suite遠端安全漏洞（cve-2017-3557）
bid:97773
cve編号:cve-2017-3557
oracle e-business suite遠端安全漏洞（cve-2017-3432）
bid:97770
cve編号:cve-2017-3432
oracle e-business suite遠端安全漏洞（cve-2017-3337）
bid:97767
cve編号:cve-2017-3337
oracle e-business suite遠端安全漏洞（cve-2017-3393）
bid:97761
cve編号:cve-2017-3393
oracle e-business suite遠端安全漏洞（cve-2017-3550）
bid:97764
cve編号:cve-2017-3550
oracle e-business suite遠端安全漏洞（cve-2017-3555）
bid:97757
cve編号:cve-2017-3555
oracle flexcube private banking遠端安全漏洞（cve-2017-3476）
bid:97738
cve編号:cve-2017-3476
oracle flexcube private banking遠端安全漏洞（cve-2017-3479）
bid:97805
cve編号:cve-2017-3479
oracle flexcube private banking遠端安全漏洞（cve-2017-3475）
bid:97816
cve編号:cve-2017-3475
oracle flexcube private banking遠端安全漏洞（cve-2017-3473）
bid:97850
cve編号:cve-2017-3473
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3527）
bid:97874
cve編号:cve-2017-3527
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3536）
bid:97898
cve編号:cve-2017-3536
oracle flexcube private banking遠端安全漏洞（cve-2017-3472）
bid:97734
cve編号:cve-2017-3472
oracle transportation manager遠端安全漏洞（cve-2017-3530）
bid:97723
cve編号:cve-2017-3530
oracle peoplesoft enterprise fscm遠端安全漏洞（cve-2017-3570）
bid:97906
cve編号:cve-2017-3570
oracle peoplesoft enterprise cs campus community 遠端安全漏洞（cve-2017-3577）
bid:97903
cve編号:cve-2017-3577
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3519）
bid:97885
cve編号:cve-2017-3519
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3547）
bid:97892
cve編号:cve-2017-3547
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3520）
bid:97908
cve編号:cve-2017-3520
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3548）
bid:97880
cve編号:cve-2017-3548
oracle peoplesoft enterprise peopletools 遠端安全漏洞（cve-2017-3546）
bid:97872
cve編号:cve-2017-3546
adobe flex blazeds遠端代碼執行漏洞（cve-2017-3066）
bid:98003
cve編号:cve-2017-3066
adobe coldfusion跨站腳本漏洞（cve-2017-3008）
bid:98002
cve編号:cve-2017-3008
apache hadoop跨站腳本漏洞（cve-2017-3161）
bid:98025
cve編号:cve-2017-3161
freetype 堆緩沖區溢出漏洞（cve-2017-8287）
cve編号:cve-2017-8287
oracle java se遠端安全漏洞（cve-2017-3512）
bid:97727
cve編号:cve-2017-3512
oracle java se遠端安全漏洞（cve-2017-3514）
bid:97729
cve編号:cve-2017-3514
oracle java se/jrockit本地安全漏洞（cve-2017-3511）
bid:97731
cve編号:cve-2017-3511
oracle java se/jrockit遠端安全漏洞（cve-2017-3526）
bid:97733
cve編号:cve-2017-3526
oracle java se遠端安全漏洞（cve-2017-3509）
bid:97737
cve編号:cve-2017-3509
oracle java se/jrockit遠端安全漏洞（cve-2017-3533）
bid:97740
cve編号:cve-2017-3533
oracle java se/jrockit遠端安全漏洞（cve-2017-3544）
bid:97745
cve編号:cve-2017-3544
oracle java se/jrockit遠端安全漏洞（cve-2017-3539）
bid:97752
cve編号:cve-2017-3539
oracle solaris遠端安全漏洞（cve-2017-3623）
bid:97778
cve編号:cve-2017-3623
oracle solaris本地安全漏洞（cve-2017-3565）
bid:97782
cve編号:cve-2017-3565
oracle solaris本地安全漏洞（cve-2017-3474）
bid:97834
cve編号:cve-2017-3474
oracle solaris本地安全漏洞（cve-2017-3498）
bid:97827
cve編号:cve-2017-3498
oracle solaris本地安全漏洞（cve-2017-3551）
bid:97821
cve編号:cve-2017-3551
oracle solaris遠端安全漏洞（cve-2017-3497）
bid:97788
cve編号:cve-2017-3497
oracle solaris遠端安全漏洞（cve-2017-3510）
bid:97813
cve編号:cve-2017-3510
oracle solaris遠端安全漏洞（cve-2017-3516）
bid:97793
cve編号:cve-2017-3516
oracle solaris本地安全漏洞（cve-2017-3564）
bid:97807
cve編号:cve-2017-3564
oracle solaris本地安全漏洞（cve-2017-3622）
bid:97774
cve編号:cve-2017-3622
oracle mysql enterprise monitor遠端安全漏洞（cve-2017-3306）
bid:97724
cve編号:cve-2017-3306
google nexus qualcomm sound driver資訊洩露漏洞（cve-2017-0586）
bid:97357
cve編号:cve-2017-0586
oracle mysql server 遠端安全漏洞（cve-2017-3308）
bid:97725
cve編号:cve-2017-3308
oracle mysql server 遠端安全漏洞（cve-2017-3456）
bid:97831
cve編号:cve-2017-3456
oracle mysql server 遠端安全漏洞（cve-2017-3458）
bid:97837
cve編号:cve-2017-3458
oracle mysql server 遠端安全漏洞（cve-2017-3457）
bid:97845
cve編号:cve-2017-3457
oracle mysql server 遠端安全漏洞（cve-2017-3459）
bid:97847
cve編号:cve-2017-3459
oracle mysql server 遠端安全漏洞（cve-2017-3302）
bid:96162
cve編号:cve-2017-3302
oracle mysql server 中間人遠端安全漏洞（cve-2017-3305）
bid:97023
cve編号:cve-2017-3305
oracle mysql server 遠端安全漏洞（cve-2017-3309）
bid:97742
cve編号:cve-2017-3309
oracle mysql server 遠端安全漏洞（cve-2017-3455）
bid:97820
cve編号:cve-2017-3455
oracle mysql server 遠端安全漏洞（cve-2017-3450）
bid:97747
cve編号:cve-2017-3450
oracle mysql server 遠端安全漏洞（cve-2017-3599）
bid:97754
cve編号:cve-2017-3599
oracle mysql server 遠端安全漏洞（cve-2017-3329）
bid:97763
cve編号:cve-2017-3329
oracle mysql server 遠端安全漏洞（cve-2017-3600）
bid:97765
cve編号:cve-2017-3600
oracle mysql server 遠端安全漏洞（cve-2017-3331）
bid:97772
cve編号:cve-2017-3331
oracle mysql server 遠端安全漏洞（cve-2017-3453）
bid:97776
cve編号:cve-2017-3453
oracle mysql server 遠端安全漏洞（cve-2017-3452）
bid:97779
cve編号:cve-2017-3452
oracle mysql server 遠端安全漏洞（cve-2017-3454）
bid:97791
cve編号:cve-2017-3454
原文釋出時間：2017年5月3日
本文由：綠盟科技 釋出，版權歸屬于原作者
原文連結:http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-201717
本文來自雲栖社群合作夥伴安全加，了解相關資訊可以關注安全加網站