当前位置: 安全纵横 > 安全公告

一周安全动态(2012年7月26日-2012年8月2日)

来源:安恒信息 日期:2012-7

2012年8月第一周(7.26-8.2)

本周预警状态为二级:有一些严重漏洞发布或网络攻击时间有增多迹象。需对网络和主机进行必要的监控和升级

 

 

 

1. 安全新闻

1.1 黑客卷土重来:电商用户数据再度被叫卖

7月26日消息,据电商行业人士透露,大批电商公司用户数据重现江湖,再度被私下售卖。

根据该人士提供的一份售卖者的电子邮件显示,乐蜂网、梦芭莎、当当、麦考林、也买酒、1号店、走秀网、高朋网、佳品网以及支付宝等电商公司的用户数据均有出售。该售卖者提供了自己的联系方式,并声称数据经过亲自核实,如假包赔。用户数据赫然在列。这些数据包括用户姓名、地址、电话、邮箱、手机号码和订单号。

该人士随后还向记者提供了一份乐蜂网的用户名单,除上述信息外,包括用户在网站上购买的具体商品名称以及购买时间均有备注。从时间上判断,这批数据基本为2011年用户的购买信息。。


乐蜂网的用户名单

记者就此事向乐蜂网相关人士求证。乐蜂网方面表示,这批用户数据时去年电商界集体遭到黑客攻击泄露出去的,对此乐蜂网已升级安全技术,以保障用户信息安全,并加大对用户的安抚,而最近一年则没有发生过类似事件。

“毕竟客户信息是真实的,所以这些信息现在还在卖。微博里这类关于乐蜂网的投诉都是来自那次的泄露。当当、京东都受到了不同程度攻击。”乐蜂网方面介绍。

记者按图索骥,发现该人士透露的数据与今年2月份流传在网上的多家主流B2C网站用户信息基本一致。尤其是2000多万支付宝信息和当当网最新的1300万会员信息。

记者随机抽检了上述人士提供的支付宝的部门数据以验证真伪,基本都是注册用户,且与淘宝账户相关联,这些邮箱包括126.com、136.com、yahoo.com、sina.com、sohu.com、qq.com、hotmail.com等。


随机抽检

而对方给出的当当网样本数据中,包括用户的姓名、注册邮箱、电话、住址以及客单价数据资料超过1000个。记者尝试拨打若干数据中的用户,对方均表示曾在当当网上注册登记过,但并不知晓自己的信息被泄露。

业内人士分析,电商公司通常采用的营销方式分为主动营销和被动营销两种。主动营销是指通过活动手机意向顾客的信息,而被动营销则是通过技术手段或购买获取潜在用户信息。

据悉,用户数据的字段信息里,只要含有姓名、电邮、电话号码,对应EDM和SMS两种方式,对初创型B2C以及低端的卖家拉拢用户有很重要的价值。

 

1.2 热点事件成黑客“谋财”绝佳机会

网上购物最怕什么?当然是网络钓鱼了,随着网购的不断发展,网络钓鱼事件越来越频繁,钓鱼网站种类也越来越多样化,各种各样网络诈骗手段层出不穷。

近日,国内某知名信息安全厂商发布了《2012年上半年中国信息安全报告》,根据报告的统计,今年1至6月,厂商共截获了钓鱼网站315万个,是去年同期的1.3倍;共 9903万人次网民遭遇到了钓鱼网站的侵袭。

热点事件也成为了黑客们进行网络钓鱼的绝佳机会,在网络运营商们从追捧热点事件中看到了商机的同时,黑客也想借机谋取不义之财。在上个月的欧洲杯上,根据厂商“云安全”系统数据分析发现,仅6月9日-11日开赛的前3天时间内,厂商就截获了42万个来自钓鱼网站的攻击,其中赌球类钓鱼网站更是高达15%以上。这是因为很多对看球意犹未尽的网友在赌球网站上寻找刺激,参与了网上赌球的活动,其带来的直接结果就是巨大的经济损失。

根据厂商“云安全”系统的数据监测显示,上半年,随着中国B2C电子商务的迅猛发展,网络钓鱼事件更是愈加频繁。而钓鱼网站的生命周期却比去年同期更短,多数都是跟随节假日以及热点事件应运而生。同时,对比去年同期数据,今年上半年的网络钓鱼类型在构成上也更加复杂,说明黑客也在根据市场的变化不断调整策略,“谋财”已经成为目前黑客最直接的目的。

根据《安全报告》,上半年钓鱼网站最多的类型分别为:假冒银行类、假冒中奖信息类、假冒购物网站类。目前,银行类网站仍然是钓鱼网站最常见仿冒对象之一。相对于其他类型网站,假冒银行网站窃取用户信息更加直接,同时给用户带来的经济损失也更加巨大。

今年上半年,网上就曝出了中国银行网站频遭大量钓鱼网站假冒,假冒网站通过诈骗短信谎称中国银行网银升级,进而骗取客户的密码。仅仅几十秒时间,就能转走受害人存款,多的有数百万元之巨。

中奖信息类钓鱼网站、假冒购物类钓鱼网站则往往都是利用一些网友贪占小便宜的心理进行诱骗。近期,这些网站甚至掌握了一些知名品牌或企业的网上活动周期,对各方面活动信息都模仿的惟妙惟肖,让网友们难以分辨真假。

一位李小姐就表示曾经收到过QQ中奖的邮件。网页中有QQ的LOGO以及详细的兑奖步骤,按照提示填写了个人资料以后,该网站就要求李小姐填写自己的银行账号及密码。这使李小姐警惕起来,仔细一看,网页显示的地址并不是腾讯公司的官方页面,而是www.qquuccqq.com。

 

1.3 黑帽大会:13%的黑客经常发起报复性攻击

从事信息风险与安全性能管理解决方案的nCircle公司近日在黑帽USA 2012大会上发布了其对181位与会者的调查结果。
对于“你是否发动过报复性的黑客攻击?”这一问题,64%回答“从未”,23%答“一次”,13%回答“经常”。

信息安全社区在报复性黑客攻击的实践上产生了分歧。一些信息安全专家认为,报复性反击可能会阻止对方进一步的攻击,而其他人则认为此类攻击只会刺激起对方更强烈的敌意,有可能会导致攻击增加,最终导致不可挽回的损失。

“报复性反击在今年的黑帽大会上是一个重大的话题,但我们对这样的调查结果是有所怀疑的,”nCircle的CTO Tim TK Keanini说。“可以肯定,有些受调查者不愿意承认他们使用了报复性反击手段。出于愤怒和沮丧而采取反击手段是非常有诱惑力的。然而,像网络犯罪分子那样,因为愤怒而采取所谓正义的以牙还牙手段,这是非常危险的。”

Keanini补充说,“安全专家和新手之间是有很大差别的,前者可以拥有合法的攻击者资格,可采取适当的反击措施,而后者只是一种盲目的反应而已。对于大多数企业而言,最好的战略就是忘掉报复,而着力改善其安全防御系统。”

 

1.4 假证团伙勾结黑客入侵多地政府网站 涉案上亿

号称“诚信合作,信誉第一”,可通过内部关系获取执业资格证书,证书编号可在政府网站查到近日,由广东揭阳人事考试网被添加非法链接,揭破了一起“以假乱真”的制售假证大案。

制售假证团伙与网络黑客勾结,入侵政府网站高达185个,遍布30个省区市,涉案金额上亿,他们的利益链条是如何形成的?这起糅合了互联网“高科技”的假证大案有何启示?

“不入侵难卖高价”,每本假证收费4000元至10000元

“只要你需要,我们就能做。诚信合作,信誉第一。”这是这个制售假证犯罪团伙公然发布的广告。

“我们可以通过内部关系获取执业资格证书,证书编号可在政府网站查到。”2010年以来,他们这样利用互联网公开贩售虚假证书。

“与一般的制售假证案件相比,该犯罪团伙入侵政府网站,提供虚假的网上证书查询认证。”广东省揭阳市公安局网警支队长陈晓平介绍,下线代理主要负责招揽生意,并把客户信息告知上线,然后将上线制好的证件发给客户。

下线代理在招揽生意时,还需要注意客户的需求是否在被入侵政府网站的范围内。如果不在,就需要告知上线;等上线确定客户需求所对应的网站能够被入侵后,才能接单。

各级代理的最上线之一,现年24岁的罗庞洁,负责统筹代理业务。同时,他也是黑客的组织者和联系人。当代理招揽生意遇到上述“麻烦”要攻克新的政府网站时,就会联系黑客。因为,“如果不入侵的话,假证就很难卖出好价钱。”

据其中一位下线代理吴小中交代,完成证件制作并交付客户后,客户即可登录政府网站认证,一般是口头告诉客户认证网站,由客户自行登录并输入姓名、身份证编号、证书编号等信息。有时,证件也会刻印网上认证的政府网站地址和相关流程。

但是,客户在网站所看到的认证信息,或者是黑客入侵网站后非法添加的“莫须有”的数据库,或者是黑客对政府数据库中他人信息的恶意篡改。

年仅18岁的黑客许海彬是罗庞洁手下的一名“技术骨干”。据他交代,根据入侵的难度,成功入侵一个政府网站,可获300元到1200元不等的“报酬”。“虽然所篡改的网站数据库数据、添加的非法链接都比较隐蔽,但难免会被政府的技术人员找到并修复。为了客户能持久地进行网上认证,不会产生怀疑,我会经常再篡改、再添加。”许海彬说。

除了黑客,制证人也不可或缺。陈支农就是其中之一。他每次收20到30元。“客户要什么证件,我就做什么证件。交易成功后,客户就给我汇钱。”

据介绍,该团伙收取高昂的办证费用,每本假证从4000元至10000多元不等。办案人员从嫌疑人使用的数据库中起获了3万多条已办理假证人员的信息,涉案金额高达上亿元。

官方人事考试网被偷偷添加非法链接,引出制售假证大案

这个隐蔽的犯罪链条是如何被发现的?

“揭阳人事考试网被添加了一个非法链接!”2011年12月8日,一个偶然的发现让广东省揭阳市人力资源和社会保障局考试办公室主任许伟鹏大吃一惊,立即向当地公安机关报案。

据许伟鹏介绍,这个非法链接被添加在网站发布的专业技术资格鉴定的信息内,位置非常隐蔽,很难发现。点击这个链接,会弹出一个窗口,让来访者填写姓名和身份证号码,输入后会进入一个证书网络认证数据库。然而,揭阳人事考试网从未设置过证书的网络认证功能。

接到报案后,揭阳市公安局网警支队立即立案侦查,发现了一个长期以正规培训公司名义,私下办理假证的窝点。

2011年12月22日,在南京警方的配合下,揭阳网警在南京市麒麟镇端掉了这个以犯罪嫌疑人吴小中为首的制售假证团伙。

仅仅这个窝点,办理的假证就达44种,涉及建筑、医疗、金融等8个行业,覆盖全国10省13市。然而,办案民警在审讯中发现,吴小中等7名犯罪嫌疑人不过是案件的冰山一角,而被入侵的政府网站资料、添加的虚假数据、假证件都由其天津的上线提供。

“我们在这个窝点找到了一份被入侵政府网站的列表,数目高达73个。”陈晓平介绍。

警方随即对被入侵后建立非法查询页面、并可正常访问的20多个政府网站及其相应的9个跳转域名的服务器进行侦查。一个以罗庞洁为首的集入侵网站、架建非法查询链接、篡改数据库、盗卖个人隐私数据资料、制售假证于一体的网络犯罪团伙逐渐浮出水面。

形成组织化、专业化犯罪链条,黑客入侵由炫耀转向牟利性犯罪,危害巨大

揭阳市公安局局长谢耀琪说,这起案件形成了一条组织化、专业化的犯罪链条,作业流程化、服务“周到”,几乎“以假乱真”。

今年4月9日至17日,在公安部的统一部署下,广东省公安机关网安部门组织了13个抓捕小组,分赴湖北、山东、福建、贵州、天津和广西6个省区市实施抓捕,抓获罗庞洁等11名犯罪嫌疑人。调查发现,罗庞洁犯罪团伙非法入侵政府网站185个,遍布30个省区市,盗卖涉及个人隐私的资料数据300多万条。

截至7月12日,该案共抓获犯罪嫌疑人165名,收缴各类假证书7100多本,假印章10000多枚。

“黑客直接入侵政府网站、恶意篡改数据、删除公民的正常信息,或者外挂链接、添加非法内容,严重损害了政府网站公信力、政府机关形象和社会的诚信体系。”公安部网络安全保卫局有关负责人说。

“从买方来说,也可能滋生其他犯罪活动和社会危害。”公安部网络安全保卫局案件侦查处处长王晓阳说,办理虚假证书,影响了社会诚信体系的构建。有人办理执业技术资格证书,确保求职顺利,但破坏了公平竞争的环境;有建筑公司办理多份高级工程师资格证书,使得公司达到高级别的资质认证,但建筑质量难以保证,百姓的生命财产就会存在安全隐患。

“该案实质上是传统犯罪向互联网的蔓延,但犯罪的形态与方式发生了巨大的变化,跨区域犯罪,受害对象也是跨地域的。”王晓阳说,尤其是黑客入侵已经由以往的炫耀式犯罪转向牟利性犯罪,造成的社会危害更大。因此,深化打击网络犯罪活动是公安机关下一步的重要举措。

“彻底清除网络虚假认证及其他犯罪活动的土壤,需要各政府部门、全社会的合成作战。”王晓阳说,从立法层面要进一步研究解决网络实名制、日志留存等问题,政府部门、企业要树立安全防范意识和社会责任意识,自觉加强互联网的日常安全维护。

 

1.5 中国信息安全地下产业链调查报告

随着中国互联网的快速发展,中国互联网网民在上网期间则频繁地遭遇到安全威胁。报告对中国互联网信息安全地下产业链进行了一次广泛且深入的结构性调查与实证数据分析,全面揭示了中国地下产业链的当前情况、内部特征以及发展趋势。据报告显示:在2011年,由中国互联网信息安全地下产业链的总体赢利规模已超过50亿元人民币,监测到地下黑市参与者超过9万人。

互联网信息安全地下产业链结构严密、体系完整

中国互联网信息安全地下产业链在结构上可分为真实资产盗窃、网络虚拟资产盗窃、互联网资源与服务滥用、黑帽技术工具与培训这四大产业链。其中,黑帽技术工具与培训产业链作为整个产业链的根源,为其他三大产业链提供了技术基础;而互联网资源与服务滥用产业链则为真实资产盗窃、网络虚拟资产盗窃两大产业链提供了网络资源条件。

其中,真实资产盗窃地下产业链是中国互联网犯罪案件的首要驱动因素,对网民的真实财产安全造成严重危害。这是由于网络购物、网上支付等互联网商务应用的用户群体、蕴含财产规模巨大,吸引了众多的不法分子参与其中,形成了从窃密到洗钱的完整地下产业链。

互联网信息安全地下产业链规模庞大,对信息安全构成严重威胁

互联网信息安全地下产业链是通过对互联网的非法利用来获取利益的,随着网民人数的增加、互联网产业的快速发展,互联网信息安全地下产业链对用户产生了越来越严重的威胁。报告估计,中国信息安全地下产业链整体盈利规模在2011年就可达53.6亿,威胁超过11,081万网民,占总体5.13亿网民数量的21.6%,威胁到105万个网站,占总监测网站数量553.3万的19%。(注:威胁人群根据各个安全厂商与国家安全监管部门安全报告综合统计)

报告还援引CNNIC 2011年度报告数据指出,2011年上半年,有8%的网民在网上遭遇过网购欺诈或被盗,该群体规模达到3880万人,也即每12位网民中就有1位遭遇过网购欺诈或被盗。

网络钓鱼成为互联网地下产业链最常使用的手段之一

报告显示,网络钓鱼已经成为互联网地下产业链中最常使用的手段之一,给互联网用户造成了严重危害。在真实资产盗窃地下产业链中,网购与支付安全的威胁主要有网络钓鱼、恶意欺诈和账户被盗三大类。


资深安全研究员谷亮分析称:“网络钓鱼本身的技术含量不高,入门要求很低,但攻击成功后的回报很高,使得参与者人数众多 ,因而成为网购与支付安全最大的危害。而且,网络犯罪者为了躲避法律追查,以及避免国内严格的网站备案流程,往往注册国外域名部署钓鱼网站以实施网络钓鱼攻击,这给整顿钓鱼网站带来了很多不便。”

地下黑市产业链的组织隐蔽,增长速度快

清华大学信息与网络安全实验室诸葛建伟博士谈到:“与传统犯罪方式不同,互联网信息安全地下产业链主要是通过互联网‘地下黑市’进行交易的。目前,中国信息安全地下黑市的主要隐藏于百度贴吧与腾讯QQ社区,有大量专门用于地下产业链沟通交流的贴吧与QQ群,拥有从盗窃到销售的完整产业链条。“ 近几年来,其参与者数量一直呈现快速增长趋势,以百度贴吧为例,其黑市参与者在2006年至2011年间平均年增长率为144.74%,最高年增长率则达到495%,2011年超过9万人。

在地下黑市,参与者非常普遍地使用腾讯QQ号作为联系方式,在帖子标题、内容或发布者昵称中包含QQ号,要求广告信息关注者通过QQ与其联系。由于QQ号并非实名注册,同时在地下产业链中盗窃与销售QQ号的行为也非常普遍,因此QQ为地下产业链参与者提供了最便捷和隐蔽的在线通讯方式。

在对“地下黑市”交易的内容进行分析后,报告发现,在真实资产盗窃链条的地下黑市中,最主流的商品是银行卡资料,其次为采集器、POS机盗刷服务等;在网络虚拟资产盗窃链条的地下黑市中,流行商品为Q币、“信封”与“箱子”;在互联网资源与服务滥用链条的地下黑市中,流行商品分别为受控“肉鸡”,服务滥用业务和网站流量;在黑帽技术工具与培训链条地下黑市中,主流商品为木马与攻击工具、远程控制软件和黑帽技术培训,其中黑帽技术培训的购买广告数量超过了出售广告达54%左右,这说明大量新人希望学习和掌握黑帽技术,进入到这一地下产业链中。

地下产业链中的流通商品价格低廉,使得犯罪成本低

网络犯罪需要使用的各种“犯罪工具”都以商品的形式在地下产业链中明码标价地出售。通过观察和统计发现,主要的“地下商品”价格低廉。最贵的木马程序也不过千元左右,而一台“肉鸡”价格则低至一毛钱。这样低廉的价格,使得组织一次网络犯罪所需要的成本比较低。比如购买1000台肉鸡组织成一个颇具规模的僵尸网络,它的成本只需要几百元。如果利用这个僵尸网络来发动分布式拒绝服务攻击的话,造成的损失将是可观的。

建设地下产业链监测体系,减轻互联网网民遭受网络犯罪

对于如何治理互联网地下产业链,趋势科技、清华大学信息与网络安全实验室在报告中给出建议:国内网络安全监管部门与执法部门非常有必要建设更加全面、覆盖面更加广泛的地下产业链监测体系,并在法律授权范围建立对涉及网络犯罪案件参与者进行在线通讯与银行支付等渠道的调查取证分析工作流程,这将有助于更好地通过法律手段打击网络犯罪行为,威慑地下产业链的参与者,从而保护互联网用户的财产与个人信息安全。

针对正在发生的网络犯罪事件,地下黑市监测信息中的线索能够为案件侦查提供帮助。趋势科技与清华大学研究人员基于这段时间对地下黑市的监测信息,跟踪到若干个仍活跃的网络犯罪团队,并已经为相关执法部门提供了案件侦查线索。

而应对地下产业链中如个人隐私信息窃取、互联网服务滥用等尚未触及现有法律条款的灰色盈利链条的行为,当务之急是通过立法手段确立对个人信息与网络资产的保护法案,以法律手段遏制目前中国互联网信息安全地下产业链快速发展的趋势,减轻互联网网民遭受网络犯罪的风险与危害。

 

2.本周关注病毒

2.1 Trojan.Win32.Downloader.ah(木马下载器)
警惕程度★★★

病毒运行后将自我删除,同时在用户的system32文件夹下释放两个驱动,并注册为服务。该病毒会摘除杀毒软件的钩子,破坏某些杀毒程序的升级,同时链接指定的地址,自动下载其他病毒文件。除此之外,该病毒还可以连接系统进程、输入法进程,以实现盗号、记录用户操作等功能。

 

2.2 Trojan.Win32.VBCode.fui(木马病毒)
警惕程度★★★★

病毒获得运行后,首先会关闭网络共享和Windows防火墙,导致电脑变得十分脆弱,很容易被黑客和木马入侵。随后病毒访问黑客指定网址下载大量流氓软件。病毒完成这些操作,用户看不到任何通知,随后,病毒进行自删除,整个过程十分隐蔽。除此以外,病毒具有很强的修改空间,病毒作者只要稍作修改,病毒的危害性便大大增加,比如更改网址指向其他的病毒木马。

 

2.3 病毒名称:Trojan.Win32.Hotchpotch.a(影子杀手)
警惕程度★★★★

病毒文件通过重命名正常的文件,在附加数据中捆绑大量病毒,病毒一旦运行,便会采取加密壳、代码变形等多种加密手段。hook用户的键盘,盗取用户部分账号和密码,进而获取用户操作系统版本、杀毒软件等信息。并针对不同的网站劫持到不同的地址,在后台操控用户电脑访问黑客指定的网址,赚取流量。

 

3.安全漏洞公告

3.1 PHP '_php_stream_scandir()'缓冲区溢出漏洞

PHP '_php_stream_scandir()'缓冲区溢出漏洞

发布时间:

2012-07-25

漏洞号:

CVE ID: CVE-2012-2688

漏洞描述:

PHP 是一种 HTML 内嵌式的语言,PHP与微软的ASP颇有几分相似,都是一种在服务器端执行的嵌入HTML文档的脚本语言,语言的风格有类似于C语言,现在被很多的网站编程人员广泛的运用。

PHP 5.3.15和5.4.5之前版本的_php_stream_scandir函数在流的实现中存在缓冲区溢出漏洞,成功利用此漏洞可允许远程攻击者在受影响的Web服务器中执行任意代码。

安全建议:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://www.php.net

 

3.2 PHP 5.3.x 'open_basedir'安全限制绕过漏洞

PHP 5.3.x 'open_basedir'安全限制绕过漏洞

发布时间:

2012-07-25

漏洞号:

CVE ID: CVE-2012-3365

漏洞描述:

PHP 是一种 HTML 内嵌式的语言,PHP与微软的ASP颇有几分相似,都是一种在服务器端执行的嵌入HTML文档的脚本语言,语言的风格有类似于C语言,现在被很多的网站编程人员广泛的运用。

PHP 5.3.15之前版本在SQLite扩展中存在错误,可被利用绕过"open_basedir"功能。

安全建议:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://www.php.net

 

3.3 JBoss Enterprise Application Platform 安全绕过漏洞

JBoss Enterprise Application Platform 安全绕过漏洞

发布时间:

2012-07-25

漏洞号:

CVE-2011-4605

漏洞描述:

JBoss Enterprise Application Platform是一款企业级应用程序平台,用于基于JBoss的应用开发。

JBoss Enterprise Application PlatformH中存在安全绕过漏洞。攻击者可利用该漏洞绕过某些安全限制并执行未授权操作。JBoss Enterprise Portal Platform 4.3 CP07版本中存在漏洞,其他版本也可能受到影响。

安全建议:

目前厂商已经发布了升级补丁以修复此安全问题,补丁获取链接:
http://www.redhat.com/products/jbossenterprisemiddleware/application-platform/

 

3.4 Symantec Web Gateway 任意命令执行漏洞

Symantec Web Gateway 任意命令执行漏洞

发布时间:

2012-07-25

漏洞号:

CVE-2012-2953

漏洞描述:

Symantec Web Gateway是一款Web安全网关硬件设备。

Symantec Web Gateway 5.0.3.18之前的5.0.x版本中的管理控制台中存在漏洞。远程认证用户可利用该漏洞通过传递到应用程序脚本中的特制输入,执行任意命令。

安全建议:

目前厂商已经发布了升级补丁以修复此安全问题,补丁获取链接:
http://www.symantec.com/security_response/securityupdates/detail.jsp?fid

=security_advisory&pvid=security_advisory&suid=20120720_00

 

3.5 IBM WebSphere MQ SVRCONN渠道安全限制绕过漏洞

IBM WebSphere MQ SVRCONN渠道安全限制绕过漏洞

发布时间:

2012-07-25

漏洞号:

BUGTRAQ ID: 54664

漏洞描述:

BM WebSphere MQ用于在企业中提供消息传输服务。

IBM WebSphere MQ 7.1在实现上存在安全限制绕过漏洞,成功利用后可允许攻击者绕过某些安全限制并执行非法操作。

安全建议:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载:
http://www.ers.ibm.com/