本周國內外安全事例簡報

1、Apache Struts2 再現遠程代碼命令執行漏洞St2-052

近日，Semmle研究人員發現熱門開源框架Apache Struts存在遠程代碼執行高危漏洞，漏洞編號CVE-2017-9805；攻擊者利用該漏洞可在使用REST插件運行應用程序的伺服器上，遠程執行代碼。2008年以來所有Struts版本(Structs 2.5-Struts 2.5.12)均受此漏洞影響，用戶請儘快升級至Apache Struts版本2.5.13。

來源：http://u6.gg/4vGT

2、社交平台Taringa超2800萬數據大規模泄露

數據泄漏平台LeakBase近期透露，社交媒體平台Taringa逾2800萬賬戶信息在線暴露，包括用戶名、電子郵件地址與散列密碼。調查顯示，Taringa用戶使用的散列密碼演算法MD5極其薄弱，黑客能輕鬆破解。目前，研究人員不僅建議Taringa用戶儘快更改密碼，還提醒用戶不要通過電子郵件點擊任何可疑鏈接。

來源：http://u6.gg/4vGW

3、美TigerSwan因第三方安全疏忽，9400份簡歷遭泄

據外媒報道，第三方招聘公司TalentPen因安全疏忽，致逾9,400份美國私人安全公司TigerSwan的僱傭簡歷在Amazon Web Services (AWS)存儲伺服器泄露，其中包括員工住址、電話號碼、電子郵件、駕駛執照與護照號碼等敏感信息。泄露的僱傭簡歷還包括前美國駐印尼大使的聯絡資料、中情局秘密服務的前任主席敏感信息，其中多人具備最高機密的安全許可。

來源：http://u6.gg/4vHa

4、美Arris數據機曝漏洞，影響逾22萬裝置

研究人員Nomotion於本周揭露，美國通訊設備製造商Arris所生產的多款數據機含不同安全漏洞，允許黑客取得完整的裝置許可權，漏洞影響約逾 22 萬台裝置。目前尚未監測到針對上述漏洞的攻擊行動。

來源：http://u6.gg/4vHb

5、2.6萬台MongoDB資料庫被劫持，用戶慘遭調戲

MongoDB資料庫遭勒索攻擊，三個黑客團伙劫持了2.6萬餘台伺服器。這些暴露的資料庫中大多數為測試系統，但其中一部分包含重要生產數據，故仍有一些公司最終支付了贖金。但與此前的勒索攻擊不同的是，黑客其實根本就沒有掌握他們的數據，用戶只是被戲耍了一番。

來源：http://u6.gg/4vGX

6、德競選網站遭數千次攻擊，與俄黑客有關?

據路透社報道，德國保守派基督教民主聯盟(CDU)副主席Julia Kloeckner發表聲明，宣稱在保守派領導人安吉拉·默克爾與社民黨主席馬丁·舒爾茨進行電視競選辯論之前，德國競選網站遭受了3000餘次網路攻擊，其中多數IP地址來自俄羅斯。

來源：http://u6.gg/4vHc

7、英高等學府遭成倍攻擊

據報道，網路犯罪分子正將目標瞄向英國大學，企圖掌握大學的技術研究資料。調查顯示，2016年至2017年，針對醫學、工程、甚至導彈研究的攻擊達1152起。包括牛津大學在內的高等學府遭遇了515起非授權訪問賬號的案例。倫敦大學學院遭遇57起黑客攻擊，倫敦大學瑪麗皇后學院在這時段共阻止了3875萬起攻擊企圖。

來源：http://u6.gg/4vGY

8、加拿大涉嫌欺詐網站fazny.ca，遭警方查封

加拿大埃德蒙頓警局(Edmonton Police Service，EPS)於上周扣押了一個偽造購物網站 fazny.ca，即該網站表面上是銷售各3C產品，但卻趁消費者刷卡付費時竊取信用卡資訊，再於他處進行消費。近期，EPS在取得法院命令後，藉由加拿大的網域名稱註冊機構的協助扣押了 fazny.ca 域名。

來源：http://u6.gg/4vGV

9、被指預裝惡意軟體，聯想支付350萬美元與FTC和解

據VentureBeat報道，筆記本電腦製造商聯想被指在機器上安裝了可能會損害用戶信息的廣告軟體，因此美國聯邦貿易委員會(FTC)和32個不同國家聯合起訴，經和解撤訴之後，聯想同意支付350萬美元的罰款。FTC主席莫林·奧豪森稱:「聯想在預裝軟體時侵犯了消費者的隱私，在沒有給出通知或獲得用戶同意的情況下，就可訪問消費者的敏感信息。」

來源：http://u6.gg/4vGU

10、澳大利亞推出新安全法案，將擴大執法機構監督許可權

據外媒報道，澳大利亞昆士蘭州近期通過一項新安全法案，旨在擴大執法機構的監督許可權，嚴厲打擊恐怖主義攻擊事件。該安全法案授予執法機構新監督許可權，允許他們通過搜查手機或智能設備追蹤可疑恐怖分子或其他重要犯罪人員。

來源：http://u6.gg/4vHd

11、再次領跑!上海交大完成世界首個海水量子通信實驗

據新華網報道，近日，中國科學家再次領跑國際量子通信研究，上海交通大學金賢敏課題組完成了世界首個海水量子通信實驗，觀察到了光子極化量子態和量子糾纏，可以在高損耗和高散射的海水中保持量子特性，這是在國際上首次通過實驗驗證水下量子通信的可行性，意味著量子通信網路真正可以「上天、下海、入地」，海空一體的量子通信網路也將在未來有望實現。

來源：新華網

12、工信部發布《互聯網域名管理辦法》，11月1日起實施

據報道，9月1日，工業和信息化部公布了《互聯網域名管理辦法》，自2017年11月1日起施行。修訂後的《辦法》分為總則、域名管理、域名服務、監督檢查、附則等六章，共五十八條。主要內容包括明確部和省級通信管理局的職責分工、完善域名服務許可制度、規範域名註冊服務活動、完善域名註冊信息登記和個人信息保護制度以及加強事中事後監管。

來源：工信部

點擊展開全文

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！