当前位置: 安全纵横 > 安全公告

一周安全动态(2012年8月16日-2012年8月23日)

来源:安恒信息 日期:2012-8

2012年8月第四周(8.16-8.23)

本周预警状态为二级:有一些严重漏洞发布或网络攻击时间有增多迹象。需对网络和主机进行必要的监控和升级。

 

 

 

1.安全新闻

1.1 黑客提前曝光个股红股计划、招股书初稿港交所、证监会:仍在等待报告

港股遭遇黑客袭击事件再次上演,这次中招的是为上市公司提供“一条龙服务”的财经印刷公司A.Plus Design。

黑客入侵导致A.Plus Design的三个客户利君国际(2005.HK)、金匡(0286.HK)和天然乳品(0462.HK)在港交所披露易上刊载的公告出现错乱,其中,利君国际建议发行红股的信息被提前爆料,正在筹备上市的爱斯丽游艇的招股书也被提早曝光。事件导致利君国际停牌至今。

A.Plus Design方面对本报记者表示,公司已经报警,事件交由警方处理,细节不便透露。据悉,该公司负责向利君国际提供财经文件管理及企业通讯服务。

8月14日早间,利君国际于港交所发布公告,称相关红股信息未经董事局批准,公司已经接获A.Plus Design的通知,资料流失可能源于系统的资料保安失效,除利君国际外,其他上市公司在港交所披露易网页上载资料的保安密码也被外泄。

“我们要求印刷公司交一份报告。”港交所发言人对本报记者表示,A.Plus Design须在报告中对为何出现事故做出解释,而港交所则需要在看到报告后才能决定采取何种措施。不过,对于何时交出报告,港交所并无明确的时间期限,其发言人仅表示“也不可能拖太久”。证监会发言人则对本报表示,目前对事件不予置评。

错误公告逗留超过24小时

8月12日傍晚6时49分,披露易网站上金匡的页面上突然上载了一份利君国际的公告,公布了利君国际截至2012年6月30日止6个月的简明综合中期财务资料草稿,以及有关建议发行红股的内容。5分钟后,天然乳品又重复上载了金匡在约半小时前已经上载的有关收购的公告,随后,创业板准新股爱斯丽游艇的招股书初稿又被上载到天然乳品的页面。

利君国际是内地西安利君制药的全资控股母公司,相关红股发行计划原定于下周董事会后,与业绩一并公告,8月13日上午8时53分起,利君国际被迫停牌。港媒称,发放红股和更改每手买卖股数的公告根本没计划在周日发布,集团只是把公告的框架资料送交A.Plus Design翻译,其间该公司遭遇黑客袭击,导致数据外泄,利君国际计划向其索偿。

“一切以我们今天的公告内容为准。”利君国际公司秘书周兴扬对本报记者表示,对于索偿传闻公司不做任何评论。在14日发布的公告中,利君国际强调,任何有关建议发行须由股东于股东特别大会上批准,周日刊发的错误公告未经董事局授权,公司无法核实其内容。

另一家正在筹备上市的爱斯丽游艇的发言人则向媒体确认,意外被披露的文件为招股书初稿,公司已经联络了专业人士和保荐人,如果发现事件由人为疏忽导致,将会追究到底。至截稿时,本报记者未能联系上该发言人。

错误公告上载后,港交所并未发现异常。A.Plus Design方面对本报表示,其发现错误后通知港交所。据悉,港交所约于周日晚8时已经获悉情况,但由于根据程序要求,港交所须先得到上市公司和所有涉及机构的确认,同时为确保上市公司发出澄清公告时,投资者已经了解事件的来龙去脉,相关错误公告直至13日晚11时30分才被删除。

“这是印刷公司自身的问题。”港交所发言人对本报记者解释,错误发生在上载过程中,与港交所是否审阅相关文件无关,印刷公司上载公告须先获得上市公司的授权,此次事件反映出印刷公司的内控可能存在漏洞。

据本报记者了解,对于印刷公司的资质,港交所方面并无要求,是否选用印刷公司负责上载公告或者选用何种规模的印刷公司,完全由上市公司做出决定。而对于公告的审阅,港交所现在只对非常重大的交易实行预先审阅,审阅旨在确认相关公告已经包括必须披露的信息,港交所确认后,公告将由上市公司自行上载到披露易。

目前,A.Plus Design尚未向港交所呈交有关事件细节的报告,港交所发言人表示,收到报告后,将根据需要做出下一步决定,现在还无法确定可能采取的措施以及是否会引入证监会。

已是成熟产业

在香港,印刷公司并不是新鲜事物。以此次出错的A.Plus Design为例,香港贸发局的登记信息显示,该公司成立于2002年,迄今已经10年历史。

“这个行业已经有一定历史。” 一位业内人士对记者表示,与处在同一条食物链上的财经公关公司等机构相比,印刷公司的业务相对单一,主要负责上市公司的通函/公告、财务报告或者招股书的翻译、格式化、排版、印刷等工作。

一些印刷公司的服务内已经包含上载公告,因此,有不少上市公司会选择全套服务。通常,公告内容的最终版本须由上市公司负责人签署确认后,并向财经印刷公司授权后才会由其上载至披露易。上载相关文件时,上市公司或其委托的印刷公司需要输入由港交所提供的两个密码,方可进行操作。

对于这个业务单一、历史已久的行业来说,爆发如此重大失误还是第一次。尽管上述业内人士坦言,过去偶尔也发生过失误,但少有这样的重大失误。港交所发言人则表示,这样张冠李戴的错误是第一次出现。。

1.2 智能电网:“黑客”不再只是遥远而陌生的概念

如果智能电网只经过极少量安全测试就被火速推向市场,说电力公司已经准备了万全的安全措施,谁敢相信呢?

人们最疏于防范的东西,一旦出了问题,所带来的就往往是致命打击。那些正准备上马智能电网的电力公司如果继续漠视安全问题,未来必定会遭遇无数挫折。很多人以为智能电网不可能遭到黑客攻击,即便有也不会有太大损失。然而事实并非如此,黑客同样有途径入侵电网,甚至不乏这样做的动机,也许是出于恐怖主义,也许是想敲诈勒索,也许是想偷电窃电,也许仅仅是因为心里不爽,故意整人。

智能电网理论上确实是一个闭合网络,但每个家庭、企业和其他用电单位,只要安装了智能电网设备,就都会成为一个“终端”。智能电网之所以智能,正是依赖这些与网络相连的“终端”。那么既然黑客可以在其他任何计算机和软件系统中找到漏洞,他们同样可以在智能电网设备中找到。

其实已有专业的安全咨询机构指出了一些漏洞。理论上说,所有终端设备都存在潜在的安全威胁,这些威胁也恰恰源自其各自的功能。也就是说,这些设备可能会被自身所害,进而危害整个电网。按照这个逻辑,以下情况都应该警惕:

整体断电。在传统PC网络中,一个普通的蠕虫病毒就可能造成整个网络瘫痪。同样的,一个病毒也可能造成整个电网停止运转。智能电网设备能跟踪输入一栋建筑的电流,黑客可以利用这一功能阻断电流或执行取消服务的命令,甚至不光感染所在的电网,还能找到并感染其他系统。可能还没等人们反应过来,所有的用户就都断电了。

电网过载。智能电网的一个关键功能就是通过系统更好地管理电流,这是为了能达到负载均衡。智能电网设备的作用是探测到何时何地需要更多的电力,以便选择相应的能力发电、输电。而一旦设备被入侵,错误地显示不需要电力的地方需要电力。结果就是,某些地区电力短缺,某些地区电力负荷过重。对后者尤其要警惕,因为它可能造成重大事故。

偷电或谎报用电量。这无疑会破坏公众对电力公司或智能电网的信任。一旦有些恐怖分子,或者那些对其他人心怀恨意的人,掌握了一定的黑客手段,他们就可以轻松修改别人电表上显示的用电量。一旦这种情况大面积出现,就势必造成大范围的电表误报。事实上,太平洋煤气电力公司(PacificGas&Electric)已经减缓了智能电网的上马,因为有一起集体诉讼声称智能电表会导致多收用户电费。

以上仅仅是一些容易察觉的攻击手段,因为电网的特殊性,被攻击的情况很可能比传统互联网还要让人意想不到。电力公司当然要反驳他们已经在设备中加入了安全技术。我也希望他们这样做,但是请记住,没有什么系统是绝对安全的。如果智能电网只经过极少量安全测试就被火速推向市场,说电力公司已经准备了万全的安全措施,谁能相信呢?

1.3 窗口网页“被黑”为成人社区打广告 抚州交警“很受伤”

8月15日上午9时20分的截图

8月15日上午12时零3分的截图

大江网讯 记者熊瑛报道:今天上午,天涯社区、新浪微博网民争相转载一则题为《抚州市公安局交通警察支队的网页,亮了》的网帖,内容为一张截图,截图顶部显示为“抚州市公安局交通警察支队直属三大队”,网页导航显示为“当前位置:主页/交警风采”,但内容却为某成人社区的推广软文。记者随后采访了该大队负责人,该大队负责人告诉记者,由于基层专业人员的缺乏,网页维护很难“除黑”,建设网页本是为驾驶员服务,“被黑”让基层交警“很受伤”。

基层交警窗口网页“被黑”引网友热议

记者在该帖上看到,楼主发出时还注明了截图时间为8月15日上午9时20分,针对交警窗口网页刊发成人社区广告,网友跟帖众多。楼主在发出该帖的第一时间说道:“估计是网站被黑了。”网友“大脚火热”回帖说:“最大的可能性是被黑了,鉴定完毕。”网友“潜踪匿行”则表达了自己的不满,“果然被黑了,到现在都还没有搞定,真是杯具”。但也有不少网友提出不同意见,网友“宝洁门头清理中心”表示,“官方网站涉及黄色信息,就有问题了”。

“网管”折腾半天 网页仍难恢复正常

记者随后就此事采访了抚州市交警支队直属三大队负责人,分管网页建设的办公室主任梁警官告诉记者,上午11:00左右,大队警员已经发现网页出错,并通知了网页管理员,网页管理员以为是网络问题,一直在调试。梁警官告诉记者,由于大队没有专业人员,网页管理员只是大队聘请的一位兼职工作人员。第一次遇见网页被黑,这名“网管”束手无策。直至记者发稿时,该网页仍未恢复正常运行,无法打开。

对外服务窗口“被黑”让基层民警很受伤

抚州市交警支队直属三大队大队长黄智民告诉记者,大队窗口网页是2009年应江西省交警总队要求设立,按照规定申请并得到批准的,主要功能是为驾驶员服务,对外发布交通管理方面的最新咨询。但由于基层人才缺乏,所以只能聘请一位兼职网页管理员进行内容更新及技术管理。对于这次窗口网页“被黑”,黄智民表示“很受伤”,他认为黑客此举不仅伤害了基层民警的工作积极性,更伤害了广大驾驶员的权益,实难理解。目前,大队负责人已经向上级主管部门汇报此事,并将对网页管理方式进行改进。

1.4 澳大利亚50万张信用卡信息泄露 涉2500万美元

凤凰科技讯 北京时间8月15日消息,据国外科技博客thenextweb报道,黑客在成功入侵澳大利亚一家安保措施简陋的商务企业数据库后,攫取了其中大约50万张信用卡的详细信息。澳大利亚警方表示,“未来将有灾难性事件发生”。

侦探负责人布拉德·马登(Brad Marden)向媒体表示,此次黑客攻击事件,将最高引起2500万美元的欺诈性交易。该负责人同时表示,这些犯罪分子被认为是东欧犯罪集团的一部分。此前该犯罪集团组织曾于2011年攻击了地铁连锁系统,当时致使8万名客户受到影响,预计此次攻击造成的影响面更广一些。

警方称,据说该犯罪组织利用了来自零售商网络上常常使用的基础安全数据,马登解释称,“该网络由当地的一些供应商建立,但他们缺乏IT安全知识。”

据悉,这些犯罪分子利用安装在POS上的按键记录器,获取了用户的信用卡详细信息,并利用微软开放但缺乏安全性能的远程桌面协议(RDP)连接将数据提取出来。

澳大利亚警方称,目前他们正在逐步接近相关的犯罪行为,但澳大利亚的银行系统都对此保持“高度警惕”,因为这些信用卡细节将出售给第三方或者其他犯罪集团。

此次澳大利亚发生的50万信用卡信息被盗事件,距离上次韩国KT Telecom 发生黑客窃取870万客户信息事件尚不足一个月时间。

1.5 移师成都 2012年RSA中国大会前瞻

2012年RSA中国区大会移师成都。即将于2012年8月28-29日在成都世纪城新国际会议中心举行。RSA大会作为全球最重要的信息安全大会在中国已经成功举办了两届,前两届的举办地都在北京,吸引了海内外重要的信息安全学者专家和厂商代表来到中国,齐聚一堂,分享和交流他们对信息安全的深刻见解和知识。

从天府之国到信息化重镇

长江重要支流之一的岷江,在李冰父子兴修都江堰水利工程之后,被分流引入成都平原,滋润着这里的万里沃野,从而孕育了灿烂悠久的蜀文化,成都也因其富饶,而被称为“天府之国”。而今天因都江堰和道教发源地青城山而享誉的成都,已经成为中国西部的信息化重镇之一,被誉为“软件名城”。2011年,成都软件及信息服务业主营收入已经达到1288亿元,居西部第一,信息安全产业归国达到83亿元,年均增速达到30%,产业规模也居全国三甲,尤其在密码和芯片安全等技术领域在国内也走前列。富庶的天府之国的信息化进程正在不断深化,在各个领域都取得了跨越式的发展,不断打造重点工程。

近日成都根据《20062020年国家信息化发展战略》和《成都市国民经济和社会发展第十二个五年规划纲要》制定的《成都市国民经济和社会信息化“十二五”规划》正式出炉。规划提出,建设先进的信息基础设施、发展高端聚集的信息产业、构建高度融合的产业体系、发展协同高效的电子政务、形成智能驱动的城市运行、提供城乡一体的信息服务、打造和谐包容的智慧生活七大方面的内容。目标是到2015年,将成都打造成为全国一流、全球重要的电子信息产业基地和中国软件名城,信息化发展水平达到国内一流、西部第一。

2012年RSA中国区信息安全论坛的成都媒体见面会上,成都市经济和信息化委员会信息安全处赵谦处长表示,“十二五期间,成都将以保障基础网络和重要信息安全系统为中心,以提高信息安全的保障能力为目标,大力发展自主创新信息安全产业,突破关键技术和产品,加大信息安全产业集群的发展,将成都发展成为西部第一,国内一流的信息安全产业高地,到2015年,成都信息安全产业规模预计将突破260亿元,占全国信息安全产业规模的三分之一。”

天府之国成都正以更新、更宽广的视野思考和迎接新一轮信息化变革的浪潮,RSA大会落户成都也实践了其主动融入全球信息大循环,积极需求信息化全方位合作的决心。

据了解,在2012年3月成都开始与RSA大会组委会接洽,经过3个月的磋商,在工信部的协调下,RSA大会最终在上海、广州、成都三个城市中选定了成都。

笔者相信这次RSA大会在成都的举行,也将成为RSA大会21年历史上与中国本土文化结合最紧密的一次,因为成都是中国水文明发展最具代表性的城市,对水的因势利导和崇尚自然修身的道教发源思想,其实都是信息安全产业发展中展现的最为重要的思维要素。同时将全球最顶端的信息化安全论坛引入成都,也将进一步带动成都未来信息安全产业的发展,从而深化其在信息安全理论研究、技术研发、产品生产和服务拓展等领域的进步。

RSA大会主题那些事

RSA大会的成长历史与成都源远流长的蜀文化发展相比,不可同日而语。但RSA大会每年主题的背景和历史渊源,与成都在人文历史的时空产生交集,却完全在情理之中。

RSA大会21年的历届主题中,2004年的全球主题“余数定理”和2010年的中国区大会主题“虎符”都与中国的密码发展史息息相关。RSA大会的历届主题所选择的历史背景,最早可追溯到公元前2600年的玛雅文明,最近可到密码学对人类探索太空文明的“先驱者10号”的作用。所以每年RSA大会的举行,当你还在追溯密码学在人类历史长河中所定位的重要时空坐标时,大会对最前沿信息安全发展趋势的沟通,会瞬间将你拉回到由1和0组成的数字世界。

笔者有幸受RSA公司邀请参加了今年于美国旧金山举行的RSA大会,今年的主题是“伟大的密码胜于利剑”,故事是关于密码的使用最终决定了一场爆发在17世纪法国宗教战争的走向,这场战争的时代背景处于法国国王路易十三执政期,路易十三认识到了密码在外交和情报方面的巨大价值,而他的继任者路由十四同样重视密码在政治和军事领域所发挥的作用,将鹅毛笔比作利剑。这样一个故事被RSA大会以数码动画的效果展现在与会者眼前,让人意犹未尽。即将于成都举行的RSA中国区大会,相信也会展示这段关于密码的战争动画故事。

当然我们也希望看到RSA中国区大会的主题,能够与中国密码学发展为整个密码学发展史所做的突出贡献,以及人物、事件等结合的更紧密。

2012年中国RSA大会亮点

一如往年,笔者依然会亲临RSA中国区大会,为你带来最及时丰富的现场报道。那么本届大会有哪些亮点会让与会者记忆深刻,还要等到大会开幕后才能体验到,但不妨让我们一起提前预测一下。

亮点1:

规模超越。工信部电子科技情报研究所网络与信息安全研究部尹丽波主任在成都的媒体见面会上透露,“这次会议的规模与前两届中国区大会相比,将大大超越,虽然达不到美国的规模。”2012年美国RSA大会是历届规模最大的一次信息安全盛会,参会人数创记录的超过了两万人。

亮点2:

参会购票。本届中国区大会首次采用参会购票的形式,这与前两届大会采用免费注册参会的形式截然不同。美国本土的RSA大会既是开放自由的信息安全交流论坛,同时也是重要的安全商业展会,今年美国大会的参展厂商就超过了350家。本届中国区大会参会购票的形式无疑是推进RSA大会在中国市场商业化进程的重要一步,同时未来随着RSA大会商业化进程的深入,大会的内容议题质量、嘉宾水准等方面也会被RSA大会程序委员会把控的更加严格,从而推动大会整体水平的提升,给中国信息安全带来更加良好发展的氛围和机会。

亮点3:

议题范围扩大。2011年中国区大会设置了5项议题范围,分别是应用与开发、密码学与体系架构、黑客与威胁、移动与网络安全和可信计算与云计算,共计37个分会场主题。今年的议题扩大为6项,分别是应用安全与密码学、安全业务管理、云安全、移动与网格计算、网络威胁和可信计算,共计54个分会场主题。相比去年多了14场,同时覆盖技术和业务领域更加广泛,偏应用、业务、管理、云安全、可信计算。根据日程,网络威胁依然是本次大会所重点的讨论范畴。同时我们也看到关于移动安全、BYOD、大数据等在内的前沿技术趋势探讨,但整体议题数量偏少。但我们可喜的看到关于云计算的数据中心安全、安全规划、云安全服务实践等议题更偏实施和落地了。

亮点4:

主人翁角色。今年的RSA大会不论是赞助商,还是演讲嘉宾,我们都能看到国内安全专家和厂商在大会所担当的角色越来越重要。这也凸显了RSA大会是由RSA公司冠名,但却是业界大会的重要特色。2011年的赞助商中鲜有中国安全厂商,而本届华为、Hillstone赫然出现在白金赞助商的行列,网康科技、深信服科技、绿盟科技、卫士通、安恒信息等国内知名安全厂商也成为了主要的赞助商。在为期两天的大会上,国内安全专家和厂商代表共计18名演讲者将悉数登场。国内信息安全行业正在RSA大会这个最富盛名的安全舞台担纲重要的角色,并借助这个舞台把最具竞争力的技术、产品和解决方案带向全球市场。而中国区大会中,我们的主人翁角色意识也越来越鲜明。

亮点5:

必须要听的主题。在50场主题中大概浏览了一下,真的很难取舍,但就个人而言,比较感兴趣的几场议题分别是:

【应用安全与密码学论坛】演讲人:Alexander Polyakov,系来自ERPScan公司首席技术官 ,其在2011年美国拉斯维加斯黑帽大会上的优异表现令大家印象深刻。作为本届大会演讲嘉宾,将发表主题演讲: SSRF:针对关键业务应用的新威胁。RSA安全大会官方微博是这样介绍这位大牛的:Alexander Polyakov在2011年美国拉斯维加斯黑帽大会上的优异表现令大家印象深刻。

【网络威胁】演讲人:Stuart McClure,职位:迈克菲公司执行副总裁兼首席技术官。McClure是当今信息安全领域公认的权威之一,以渊博的安全知识而广为人知。作为资深的安全专家,他将和大家一起讨论网络威胁前景,安全控制和潜在的缓解对策。Stuart McClure是系列计算机图书《黑客大曝光》的作者之一。

移师成都 2012年RSA中国大会前瞻

比较新颖的议题:

【云安全】演讲人:臧铁军,Vmware安全与合规产品专家。主题是软件定义的网络与安全,SDN方兴未艾,软件定义安全就来了?

【移动与网格计算】演讲人:谈晶,华为技术有限公司产品经理。主题: 自备设备(BYOD)的安全移动商务,华为国内首谈BYOD,值得期待!

先这几个吧,想提前做准备工作的朋友,可到RSA信息安全大会2012:

http://www.emc-china.com/rsaconference/2012/cn/index.php,了解详细议题、时间和演讲嘉宾信息。

不得不说的遗憾

在大会召开之前写遗憾,可能言时过早。不过通过议题日程,笔者还是发现了一些遗憾。首先,美国RSA大会不仅仅是主流安全厂商的舞台,在那里你能够发现众多的创新型安全厂商在RSA的舞台展示他们对信息安全的理解和产品解决方案,而中国区的大会可能受诸多因素的影响,却鲜能看到创新安全厂商出现在这个平台,当然这跟中国区大会缺少商展也不无关系;其次,上面也提过关于BYOD,大数据,甚至是已经在国内引起诸多讨论的下一代防火墙、网络欺诈等议题也偏少;除了传统的主题演讲和分组议题外,辩论,同行业讨论等会议环节却在大会的日程中没有提及。

当然总体而言,RSA大会在中国的影响力正在不断扩大,并给中国信息安全产业带来新的气息,而这次移师成都,参会购票,扩大规模也印证了中国信息安全产业的崛起和在全球市场所发挥的作用。2012年RSA中国信息安全论坛,我们拭目以待!

2 本周关注病毒

2.1 Backdoor.Win32.Farfli.ae(后门病毒) 警惕程度 ★★★

该病毒运行后可以后台监控用户电脑的一举一动,盗取各类账号密码,对用户的信息隐私安全造成了威胁。由于该病毒对注册表操作比较繁杂,释放的文件名随机性很复杂,导致手工查杀难道极高,建议用户使用瑞星杀毒软件进行全盘扫描。

2.2 Trojan.Win32.Injection.c(“注射虫”木马病毒) 警惕程度 ★★★

该病毒会通过U盘、软件捆绑等方式进行扩散传播,随后感染所有进程,使得每个正在运行的程序都包含病毒代码。随后,黑客通过病毒盗取用户电脑中的账号密码,不断下载新木马进行后续破坏。

2.3 病毒名称:Trojan.PSW.Win32.QQPass.flw(QQ大盗木马)警惕程度 ★★★★

病毒运行后会提升自身的权限,查找QQ.exe的主程序窗口,将其隐藏;并将自身伪装成QQ登陆框,诱骗用户填写用户名及密码,最终将该信息发往黑客指定的服务器,盗取用户的账号及隐私信息。

3 安全漏洞公告

3.1 McAfee FireWall Enterprise ISC BIND拒绝服务漏洞

McAfee FireWall Enterprise ISC BIND拒绝服务漏洞

发布时间:

2012-08-14

漏洞号:

CVE ID: CVE-2012-1033,CVE-2012-3817

漏洞描述:

McAfee Firewall Enterprise是一款网络防火墙,可提供前所未有的应用程序控制和威胁防护级别。
McAfee Firewall Enterprise 7.0.1.03H04、8.2.1P03之前版本在实现上存在两个漏洞,可被恶意用户利用执行欺骗攻击并造成拒绝服务。

安全建议:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载: http://www.mcafee.com/

3.2 Solaris 10 Patch 137097-01符号链接攻击本地权限提升漏洞

Solaris 10 Patch 137097-01符号链接攻击本地权限提升漏洞

发布时间:

2012-08-14

漏洞号:

BUGTRAQ ID: 54919

漏洞描述:

Oracle Sun Solaris是一款商业性质的操作系统。 Solaris 10 Patch 137097-01在实现上存在本地权限提升漏洞,本地攻击者可利用此漏洞在受影响计算机上获取提升的权限。

安全建议:

目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本: http://www.oracle.com/technetwork/topics/security/

3.3 Cisco IOS SSL VPN Portal重载拒绝服务漏洞

Cisco IOS SSL VPN Portal重载拒绝服务漏洞

发布时间:

2012-08-14

漏洞号:

CVE ID: CVE-2012-134

漏洞描述:

Cisco IOS是多数思科系统路由器和网络交换机上使用的互联网络操作系统。
Cisco IOS 15.1、15.2在配置了无客户端SSL VPN后,可允许远程已验证用户通过Web浏览器刷新SSL VPN门户网页,造成拒绝服务。

安全建议:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载: http://www.cisco.com/warp/public/707/advisory.html

3.4 WinWebMail Server HTML Mail脚本插入漏洞

WinWebMail Server HTML Mail脚本插入漏洞

发布时间:

2012-08-10

漏洞号:

CVE ID: CVE-2012-2571

漏洞描述:

WinWebMail Server是Windows平台上的多功能Web邮件服务器。
WinWebMail Server 3.8.1.6及其他版本在实现上存在安全漏洞,HTML电子邮件中的输入没有正确过滤即被使用,可被利用插入任意HTML和脚本代码,在Web邮件接口中被打开后,可在受影响站点的用户浏览器会话中执行。

安全建议:

目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本: http://www.winwebmail.net/

3.5 Linux Kernel NCI多个远程栈缓冲区溢出漏洞

Linux Kernel NCI多个远程栈缓冲区溢出漏洞

发布时间:

2012-08-13

漏洞号:

BUGTRAQ ID: 54966
CVE ID: CVE-2012-3364

漏洞描述:

Linux是最受欢迎的自由电脑操作系统内核。
Linux Kernel在实现上存在多个远程栈缓冲区溢出漏洞,攻击者可利用此漏洞以内核权限执行任意代码,完全控制受影响计算机。

安全建议:

目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载: http://www.kernel.org/