綠盟科技釋出了本周安全通告，周報編号nsfocus-16-32，綠盟科技漏洞庫本周新增98條，其中高危83條。本次周報建議大家關注gitlab目錄周遊漏洞，可導緻遠端代碼執行。目前官方已經給出了解決方案，強烈建議使用者檢查自己的gitlab是否為受影響的版本，如果是，按照官方方案進行修複。
gitlab目錄周遊漏洞
nsfocus id 35391
cve id cve-2016-9086
受影響版本
8.13.0-8.13.2
8.12.0-8.12.7
8.11.0-8.11.9
8.10.0-8.10.12
8.9.0-8.9.11
漏洞點評
gitlab在導入/導出項目時，沒有正确檢查使用者所提供tar包中的符号連結（symlinks），導緻攻擊者可以擷取gitlab服務賬号下的所有檔案，包括token等一些敏感的資訊，可導緻遠端代碼執行。目前官方已經給出了解決方案，強烈建議使用者檢查自己的gitlab是否為受影響的版本，如果是，按照官方方案進行修複。
（資料來源：綠盟科技安全研究部&産品規則組）
最近一周cve公告總數與前期相比大幅下降。值得關注的高危漏洞如下：
<a href="http://toutiao.secjia.com/yahoo-investigating" target="_blank">verizon不想收購雅虎了？ 雅虎說5億資料事件是政府資助黑客所為 損失超過100萬美金</a>
http://toutiao.secjia.com/yahoo-investigating
雅虎在一份檔案中說，verizon可能會終止對其的收購或者就收購一事重新談判。據雅虎在上周三送出的檔案顯示，調查已經确認5億使用者賬戶被竊事件攻擊者是政府資助的黑客。攻擊事件後，公司面臨着美國境内外共23起消費者集體訴訟。截至9月30日，雅虎第三季度在此事件上的支出已達100萬美元。
<a href="http://toutiao.secjia.com/google-adsense-chrome-zero-day-deliver-android-trojan" target="_blank">攻擊者利用chrome零日漏洞傳播安卓木馬svpeng 已感染幾十萬安卓裝置</a>
http://toutiao.secjia.com/google-adsense-chrome-zero-day-deliver-android-trojan
卡巴斯基稱，網絡攻擊者利用安卓版chrome浏覽器中的零日漏洞，通過谷歌adsense傳播svpeng木馬，影響安卓使用者。google正在開發chrome55的更新檔，據說目前其他版本未受影響。
<a href="http://toutiao.secjia.com/adobe-flash-player-remote-code-execution-vulnerabilities" target="_blank">adobe flash player多個遠端代碼執行漏洞 綠盟科技釋出安全威脅通告</a>
http://toutiao.secjia.com/adobe-flash-player-remote-code-execution-vulnerabilities
2016年11月8日（當地時間），adobe官方網站釋出了一個關于adobe flash player産品的安全通告。通告中公布了9個漏洞，涉及到的平台包括windows，macintosh，linux以及chrome os。
（資料來源：綠盟科技 威脅情報與網絡安全實驗室 收集整理）
截止到2016年11月11日，綠盟科技漏洞庫已收錄總條目達到35390條。本周新增漏洞記錄98條，其中高危漏洞數量83條，中危漏洞數量14條，低危漏洞數量1條。
qemu intel_hda_xfer 函數拒絕服務漏洞(cve-2016-8909)
危險等級:高
bid:93842
cve編号:cve-2016-8909
qemu rtl8139_cplus_transmit函數拒絕服務漏洞(cve-2016-8910)
bid:93844
cve編号:cve-2016-8910
adobe acrobat/reader釋放後重利用遠端代碼執行漏洞(cve-2016-6938)
bid:93016
cve編号:cve-2016-6938
webkit 多個記憶體破壞漏洞(cve-2016-4677)
bid:93853
cve編号:cve-2016-4677
qemu serial_update_parameters函數拒絕服務漏洞(cve-2016-8669)
bid:93563
cve編号:cve-2016-8669
qemu rc4030_write函數拒絕服務漏洞(cve-2016-8667)
bid:93567
cve編号:cve-2016-8667
qemu rocker_io_writel 函數拒絕服務漏洞(cve-2016-8668)
bid:93566
cve編号:cve-2016-8668
qemu xhci_ring_fetch函數拒絕服務漏洞(cve-2016-8576)
bid:93469
cve編号:cve-2016-8576
qemu v9fs_read函數拒絕服務漏洞(cve-2016-8577)
bid:93473
cve編号:cve-2016-8577
qemu v9fs_iov_vunmarshal函數拒絕服務漏洞(cve-2016-8578)
bid:93474
cve編号:cve-2016-8578
citrix receiver desktop lock身份驗證繞過漏洞(cve-2016-9111)
危險等級:中
cve編号:cve-2016-9111
oracle mysql 遠端安全漏洞(cve-2016-6663)
cve編号:cve-2016-6663
exponent cms sql注入漏洞(cve-2016-9242)
cve編号:cve-2016-9242
exponent cms sql注入漏洞(cve-2016-9183)
cve編号:cve-2016-9183
joomla! register方法安全漏洞(cve-2016-8870)
cve編号:cve-2016-8870
exponent cms sql注入漏洞(cve-2016-9184)
cve編号:cve-2016-9184
joomla! core 權限提升漏洞(cve-2016-8869)
bid:93883
cve編号:cve-2016-8869
adobe flash player 類型混淆漏洞(cve-2016-7860)
cve編号:cve-2016-7860
adobe flash player 釋放後重利用漏洞(cve-2016-7859)
cve編号:cve-2016-7859
adobe flash player 釋放後重利用漏洞(cve-2016-7862)
cve編号:cve-2016-7862
adobe flash player 類型混淆漏洞(cve-2016-7861)
cve編号:cve-2016-7861
adobe flash player 類型混淆漏洞(cve-2016-7865)
cve編号:cve-2016-7865
adobe flash player 釋放後重利用漏洞(cve-2016-7863)
cve編号:cve-2016-7863
adobe flash player 釋放後重利用漏洞(cve-2016-7864)
cve編号:cve-2016-7864
adobe flash player 釋放後重利用漏洞(cve-2016-7857)
cve編号:cve-2016-7857
adobe flash player 釋放後重利用漏洞(cve-2016-7858)
cve編号:cve-2016-7858
adobe flash player 釋放後重利用漏洞(cve-2016-7855)
cve編号:cve-2016-7855
adobe reader/acrobat記憶體破壞漏洞(cve-2016-7853)
cve編号:cve-2016-7853
adobe reader/acrobat記憶體破壞漏洞(cve-2016-7854)
cve編号:cve-2016-7854
adobe connect跨站腳本攻擊漏洞(cve-2016-7851)
cve編号:cve-2016-7851
microsoft internet explorer/edge資訊洩露漏洞(cve-2016-7199) (ms16-142)
bid:94057
cve編号:cve-2016-7199
microsoft internet explorer/edge遠端資訊洩露漏洞(cve-2016-7227)
bid:94065
cve編号:cve-2016-7227
microsoft edge欺騙漏洞(cve-2016-7209) (ms16-129)
危險等級:低
bid:94049
cve編号:cve-2016-7209
microsoft edge遠端資訊洩露漏洞(cve-2016-7204) (ms16-129)
bid:93970
cve編号:cve-2016-7204
microsoft edge遠端記憶體破壞漏洞(cve-2016-7243) (ms16-129)
bid:94047
cve編号:cve-2016-7243
microsoft edge遠端記憶體破壞漏洞(cve-2016-7242) (ms16-129)
bid:94041
cve編号:cve-2016-7242
microsoft edge遠端記憶體破壞漏洞(cve-2016-7240) (ms16-129)
bid:94046
cve編号:cve-2016-7240
microsoft edge遠端記憶體破壞漏洞(cve-2016-7208) (ms16-129)
bid:94044
cve編号:cve-2016-7208
microsoft edge遠端記憶體破壞漏洞(cve-2016-7203) (ms16-129)
bid:94039
cve編号:cve-2016-7203
microsoft internet explorer/edge遠端記憶體破壞漏洞(cve-2016-7196)
bid:94051
cve編号:cve-2016-7196
microsoft internet explorer/edge遠端記憶體破壞漏洞(cve-2016-7195)
bid:94052
cve編号:cve-2016-7195
microsoft internet explorer/edge遠端記憶體破壞漏洞(cve-2016-7198)
bid:94053
cve編号:cve-2016-7198
microsoft internet explorer/edge遠端記憶體破壞漏洞(cve-2016-7241)
cve編号:cve-2016-7241
microsoft internet explorer/edge遠端資訊洩露漏洞(cve-2016-7239)
cve編号:cve-2016-7239
microsoft edge遠端記憶體破壞漏洞(cve-2016-7200) (ms16-129)
bid:93968
cve編号:cve-2016-7200
microsoft edge遠端記憶體破壞漏洞(cve-2016-7201) (ms16-129)
bid:94038
cve編号:cve-2016-7201
microsoft edge遠端記憶體破壞漏洞(cve-2016-7202) (ms16-129)
bid:94042
cve編号:cve-2016-7202
microsoft office 拒絕服務漏洞(cve-2016-7244)(ms16-133)
bid:94029
cve編号:cve-2016-7244
microsoft office 記憶體破壞漏洞(cve-2016-7245)(ms16-133)
bid:94026
cve編号:cve-2016-7245
microsoft office 記憶體破壞漏洞(cve-2016-7236)(ms16-133)
bid:94025
cve編号:cve-2016-7236
microsoft office 記憶體破壞漏洞(cve-2016-7235)(ms16-133)
bid:94022
cve編号:cve-2016-7235
microsoft office 記憶體破壞漏洞(cve-2016-7234)(ms16-133)
bid:94020
cve編号:cve-2016-7234
microsoft office 記憶體破壞漏洞(cve-2016-7232)(ms16-133)
bid:94005
cve編号:cve-2016-7232
microsoft office 記憶體破壞漏洞(cve-2016-7231)(ms16-133)
bid:93996
cve編号:cve-2016-7231
microsoft office 記憶體破壞漏洞(cve-2016-7230)(ms16-133)
bid:94006
cve編号:cve-2016-7230
microsoft office 記憶體破壞漏洞(cve-2016-7229)(ms16-133)
bid:93995
cve編号:cve-2016-7229
microsoft office 記憶體破壞漏洞(cve-2016-7228)(ms16-133)
bid:93994
cve編号:cve-2016-7228
microsoft office 記憶體破壞漏洞(cve-2016-7213)(ms16-133)
bid:93993
cve編号:cve-2016-7213
microsoft office 資訊洩露漏洞(cve-2016-7233)(ms16-133)
bid:94031
cve編号:cve-2016-7233
microsoft windows input method editor本地權限提升漏洞(cve-2016-7221)
bid:94021
cve編号:cve-2016-7221
microsoft windows file manager遠端代碼執行漏洞(cve-2016-7212)
bid:94027
cve編号:cve-2016-7212
microsoft windows task scheduler本地權限提升漏洞(cve-2016-7222)
bid:94023
cve編号:cve-2016-7222
microsoft windows video control遠端代碼執行漏洞(cve-2016-7248)
bid:94028
cve編号:cve-2016-7248
microsoft windows open type font資訊洩露漏洞(cve-2016-7210) (ms16-132)
bid:94030
cve編号:cve-2016-7210
microsoft windows animation manager記憶體破壞漏
bid:94033
cve編号:cve-2016-7205
microsoft windows media foundation記憶體破壞漏
bid:94066
cve編号:cve-2016-7217
microsoft windows open type font遠端代碼執行漏
bid:94156
cve編号:cve-2016-7256
microsoft windows boot manager 本地安全限制繞過漏
bid:94058
cve編号:cve-2016-7247
microsoft windows 本地權限提升漏洞(cve-2016-7216)(ms16-138)
bid:94048
cve編号:cve-2016-7216
microsoft windows 本地權限提升漏洞(cve-2016-7226)(ms16-138)
bid:94018
cve編号:cve-2016-7226
microsoft windows 本地權限提升漏洞(cve-2016-7225)(ms16-138)
bid:94016
cve編号:cve-2016-7225
microsoft windows 本地權限提升漏洞(cve-2016-7224)(ms16-138)
bid:94017
cve編号:cve-2016-7224
microsoft windows 本地權限提升漏洞(cve-2016-7223)(ms16-138)
bid:94003
cve編号:cve-2016-7223
microsoft windows ntlm本地權限提升漏洞(cve-2016-7238)(ms16-137)
bid:94045
cve編号:cve-2016-7238
microsoft windows 拒絕服務漏洞(cve-2016-7237)(ms16-137)
bid:94040
cve編号:cve-2016-7237
microsoft windows virtual secure mode本地資訊洩露漏
bid:94036
cve編号:cve-2016-7220
microsoft sql server 權限提升漏洞(cve-2016-7253)(ms16-136)
bid:94056
cve編号:cve-2016-7253
microsoft sql server資訊洩露漏洞(cve-2016-7252)(ms16-136)
bid:94050
cve編号:cve-2016-7252
microsoft sql server master data services跨站腳本漏
bid:94043
cve編号:cve-2016-7251
microsoft sql server 權限提升漏洞(cve-2016-7254)(ms16-136)
bid:94061
cve編号:cve-2016-7254
microsoft sql server 權限提升漏洞(cve-2016-7250)(ms16-136)
bid:94060
cve編号:cve-2016-7250
microsoft sql server 權限提升漏洞(cve-2016-7249)(ms16-136)
bid:94037
cve編号:cve-2016-7249
microsoft windows kernel 本地資訊洩露漏洞(cve-2016-7218)(ms16-135)
bid:94004
cve編号:cve-2016-7218
microsoft windows kernel ‘win32k.sys’本地權限提升漏
bid:94064
cve編号:cve-2016-7255
bid:94063
cve編号:cve-2016-7246
bid:94000
cve編号:cve-2016-7215
microsoft windows kernel 本地資訊洩露漏洞(cve-2016-7214)(ms16-135)
bid:93991
cve編号:cve-2016-7214
microsoft windows 本地權限提升漏洞(cve-2016-7184)(ms16-134)
bid:94015
cve編号:cve-2016-7184
microsoft windows 本地權限提升漏洞(cve-2016-0026)(ms16-134)
bid:93998
cve編号:cve-2016-0026
microsoft windows 本地權限提升漏洞(cve-2016-3332)(ms16-134)
bid:94008
cve編号:cve-2016-3332
microsoft windows 本地權限提升漏洞(cve-2016-3334)(ms16-134)
bid:94012
cve編号:cve-2016-3334
microsoft windows 本地權限提升漏洞(cve-2016-3335)(ms16-134)
bid:94011
cve編号:cve-2016-3335
microsoft windows 本地權限提升漏洞(cve-2016-3338)(ms16-134)
bid:94014
cve編号:cve-2016-3338
microsoft windows 本地權限提升漏洞(cve-2016-3340)(ms16-134)
bid:94010
cve編号:cve-2016-3340
microsoft windows 本地權限提升漏洞(cve-2016-3342)(ms16-134)
bid:94013
cve編号:cve-2016-3342
microsoft windows 本地權限提升漏洞(cve-2016-3343)(ms16-134)
bid:94007
cve編号:cve-2016-3343
ca unified infrastructure management資訊洩露漏洞(cve-2016-9164)
cve編号:cve-2016-9164
adobe reader/acrobat記憶體破壞漏洞(cve-2016-4095)
cve編号:cve-2016-4095
原文釋出時間：2017年3月24日
本文由：綠盟科技 釋出，版權歸屬于原作者
原文連結：http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-2016-32#
本文來自雲栖社群合作夥伴安全加，了解相關資訊可以關注安全加網站