股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊(cè)，使用微信掃一掃
首頁 > 安全通告
安全通告
威脅周報(bào) | 關(guān)于F5 BIG-IP iControl REST存在身份認(rèn)證繞過漏洞的安全公告
發(fā)布時(shí)間 ：2022年05月11日
分享：
熱門病毒通告
亞信安全熱門病毒綜述 -
Ransom.Win32.MAOLOA.THAAHBA
此勒索病毒由其它惡意軟件釋放，或者用戶訪問惡意網(wǎng)站不經(jīng)意下載到達(dá)本機(jī)，其添加如下注冊(cè)表自啟動(dòng)項(xiàng)目值：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
WindowsUpdateCheck = {Executed Malware Directory}\rundll32.com
此勒索病毒避免加密文件名中包含以下字符串的文件：
windows
bootmgr
pagefile.sys
boot
ids.txt
NTUSER.DAT
PerfLogs
此勒索病毒避免加密如下擴(kuò)展名文件：
.dll
.lnk
.ini
.sys
加密后的文件擴(kuò)展名如下：
{original filename}.{original extension}.Globeimposter-Alpha865qqz
對(duì)該病毒的防護(hù)可以從下述鏈接中獲取最新版本的病毒碼：17.533.60
https://console.zbox.filez.com/l/2n6wBS
微軟5月補(bǔ)丁日安全漏洞風(fēng)險(xiǎn)通告
近日，亞信安全CERT監(jiān)控到微軟補(bǔ)丁日發(fā)布了74個(gè)漏洞的安全補(bǔ)丁，修復(fù)了.NET、Visual Studio Code、Microsoft Exchange Server、Microsoft Office、Microsoft Windows ALPC、Visual Studio、Windows Active Directory、Windows LDAP、 Remote Desktop Client、 Windows Network File System、 NTFS、Windows Print Spooler等產(chǎn)品中的漏洞。其中有7個(gè)漏洞評(píng)級(jí)為嚴(yán)重，66個(gè)被評(píng)為重要，1個(gè)被評(píng)為低危。
漏洞描述
近日，亞信安全CERT監(jiān)控到F5廠商公布了BIG-IP iControl REST漏洞。攻擊者利用該漏洞，可在未授權(quán)的情況下執(zhí)行任意系統(tǒng)命令，創(chuàng)建或刪除文件以及禁用服務(wù)。目前，漏洞利用細(xì)節(jié)已公開，廠商已發(fā)布補(bǔ)丁完成修復(fù)。
F5 BIG-IP是美國F5公司一款集成網(wǎng)絡(luò)流量管理、應(yīng)用程序安全管理、負(fù)載均衡等功能的應(yīng)用交付平臺(tái)（ADN）。F5 BIG-IP充分利用了F5的TMOS構(gòu)架，改進(jìn)了鏈路性能，同時(shí)提供較為靈活的狀態(tài)檢查功能。
漏洞編號(hào)及等級(jí)
CVE-2022-1388 高危
漏洞細(xì)節(jié)
漏洞細(xì)節(jié) | 漏洞PoC | 漏洞EXP | 在野利用 |
公開 | 公開 | 公開 | 存在 |
受影響的版本
16.x（16.1.0 - 16.1.2）
15.x（15.1.0 - 15.1.5）
14.x（14.1.0 - 14.1.4）
13.x（13.1.0 - 13.1.4）
12.x（12.1.0 - 12.1.6）（官方不提供補(bǔ)?。?/p>
11.x（11.6.1 - 11.6.5）（官方不提供補(bǔ)?。?/p>
漏洞復(fù)現(xiàn)
漏洞修復(fù)
※ F5公司已發(fā)布新版本修復(fù)該漏洞，亞信安全建議用戶立即升級(jí)至最新版本。
※ 在未打補(bǔ)丁之前，可通過以下措施進(jìn)行緩解：
1.通過自身IP地址阻止iControl REST訪問。
您可以通過自有IP地址阻止對(duì)BIG-IP系統(tǒng)的iControl REST接口的所有訪問。為此，您可以將系統(tǒng)中每個(gè)自身IP地址的端口鎖定設(shè)置更改為允許無。如果您必須打開任何端口，您應(yīng)該使用允許自定義選項(xiàng)，注意禁止訪問iControl REST。默認(rèn)情況下，iControl REST在單個(gè)NIC BIG-IP VE實(shí)例上偵聽TCP端口443或TCP端口8443。如果您修改了默認(rèn)端口，請(qǐng)確保您禁止訪問您配置的備用端口。
2. 通過管理界面阻止iControl REST訪問。
要緩解受影響的F5產(chǎn)品的此漏洞，您應(yīng)該將管理訪問權(quán)限限制為僅對(duì)安全網(wǎng)絡(luò)上的受信任用戶和設(shè)備進(jìn)行。
3.修改BIG-IP httpd配置
除了通過自有IP地址和管理界面阻止訪問之外，或者如果這些選項(xiàng)在您的環(huán)境中不可行，則作為阻止訪問的替代方法，您可以修改BIG-IP httpd配置以緩解此問題。
BIG-IP 14.1.0及更高版本
程序的影響：執(zhí)行以下程序不會(huì)對(duì)您的系統(tǒng)產(chǎn)生負(fù)面影響。
輸入以下命令， 登錄BIG-IP系統(tǒng)的 TMOS Shell ( tmsh )：
tmsh
通過輸入以下命令，打開httpd配置進(jìn)行編輯：
edit /sys httpd all-properties
找到以include none開頭的行并將none替換為以下文本：
?注意：如果當(dāng)前的include語句已經(jīng)包含非none的配置，請(qǐng)將以下配置添加到當(dāng)前配置的末尾，在現(xiàn)有的雙引號(hào)字符 ( " ) 內(nèi)。
Bash
"<If\"%{HTTP:connection} =~ /close/i \">
RequestHeader set connection close
</If>
<ElseIf \"%{HTTP:connection} =~ /keep-alive/i \">
RequestHeader set connection keep-alive
RequestHeader set connection close
"
更新include語句后，使用ESC鍵退出編輯器交互模式，然后輸入以下命令保存更改：
:wq
在保存更改 (y/n/e)提示下，選擇y以保存更改。
通過輸入以下命令保存 BIG-IP 配置：
save /sys config
BIG-IP 14.0.0及更早版本
程序的影響：執(zhí)行以下程序不會(huì)對(duì)您的系統(tǒng)產(chǎn)生負(fù)面影響。
通過輸入以下命令，登錄到BIG-IP系統(tǒng)的tmsh：
tmsh
通過輸入以下命令，打開httpd配置進(jìn)行編輯：
edit /sys httpd all-properties
找到以include none開頭的行并將none替換為以下文本：
?注意：如果當(dāng)前的include語句已經(jīng)包含非none的配置，請(qǐng)將以下配置添加到當(dāng)前配置的末尾，在現(xiàn)有的雙引號(hào)字符 ( " ) 內(nèi)。
"RequestHeader set connection close"
更新include語句后，使用ESC鍵退出編輯器交互模式，然后輸入以下命令保存更改：
:wq
在保存更改 (y/n/e)提示下，選擇y以保存更改。
通過輸入以下命令保存 BIG-IP 配置：
save /sys config
韓國正式加入北約網(wǎng)絡(luò)防御中心
5月5日，韓國國家情報(bào)院宣布作為正式會(huì)員加入北大西洋公約組織(NATO)合作網(wǎng)絡(luò)防御卓越中心(CCDCOE)。由此，韓國成為首個(gè)加入該機(jī)構(gòu)的亞洲國家。韓國加入該機(jī)構(gòu)后，正式會(huì)員國增至32個(gè)，包括北約27個(gè)成員國和其他5個(gè)非成員國。
美國能源供應(yīng)商遭到黑客入侵導(dǎo)致客戶信息泄露
近日，美國能源供應(yīng)商Riviera Utilities發(fā)表聲明稱其部分員工電子郵件賬戶遭到入侵，攻擊者獲得了這些賬戶的臨時(shí)訪問權(quán)限，其中包括姓名、社會(huì)安全號(hào)碼、駕駛執(zhí)照或州身份證號(hào)碼、護(hù)照號(hào)碼、醫(yī)療信息、健康保險(xiǎn)信息、信用卡或借記卡號(hào)碼、卡到期日期等信息。
截至目前，Riviera Utilities證實(shí)沒有任何個(gè)人信息因該事件而被濫用。但是，出于謹(jǐn)慎考慮，該公司通知了可能受影響的個(gè)人，并且考慮向社會(huì)安全號(hào)碼受影響的個(gè)人提供免費(fèi)的信用監(jiān)控服務(wù)。
澳大利亞交通局遭到網(wǎng)絡(luò)攻擊，數(shù)據(jù)隱私安全受到影響
近日，澳大利亞新南威爾士州的交通局被曝遭到網(wǎng)絡(luò)攻擊，攻擊者在其在線授權(quán)檢查計(jì)劃(AIS)應(yīng)用程序中未經(jīng)授權(quán)入侵了部分用戶帳戶，導(dǎo)致用戶數(shù)據(jù)隱私安全受到影響。由于 AIS 授權(quán)檢查計(jì)劃要求用戶提交在線申請(qǐng)時(shí)填寫填寫個(gè)人詳細(xì)信息，包括他們的全名、地址、電話號(hào)碼、電子郵件地址、出生日期和駕駛執(zhí)照號(hào)碼，新南威爾士州交通局網(wǎng)絡(luò)攻擊事件可能導(dǎo)致客戶隱私數(shù)據(jù)發(fā)生泄露。
間諜軟件瞄準(zhǔn)西班牙首相和國防部長設(shè)備展開攻擊
西班牙政府官員于近日在新聞發(fā)布會(huì)上表示，西班牙首相和國防部長使用的手機(jī)感染了Pegasus間諜軟件。2021年5月Pegasus間諜軟件入侵了總理的手機(jī)，繼而6月國防部長的手機(jī)成為攻擊目標(biāo)。Pegasus間諜軟件通過訪問電話、消息、媒體、電子郵件、麥克風(fēng)和攝像頭來監(jiān)視目標(biāo)的電話。據(jù)The Citizen Lab上個(gè)月發(fā)布的研究顯示，針對(duì)歐洲議會(huì)官員和加泰羅尼亞總統(tǒng)、立法者、法學(xué)家和民間社會(huì)組織的成員的65個(gè)間諜軟件攻擊事例，其中63個(gè)使用了Pegasus間諜軟件。
Pegasus間諜軟件是以色列NSO Group臭名昭著的間諜工具。多年來，Pegasus被各國政府和人權(quán)組織所標(biāo)記，列入黑名單。由于該公司宣傳該軟件是政府監(jiān)控犯罪活動(dòng)和恐怖主義的一種手段，旨在監(jiān)控、侵犯人權(quán)行為，遭到部分國家的聯(lián)合抵制。
Hive0117組織冒充俄羅斯政府機(jī)構(gòu)攻擊電信公司
Hive0117是出于經(jīng)濟(jì)動(dòng)機(jī)的網(wǎng)絡(luò)犯罪組織，該組織自2022年2月起，冒充俄羅斯機(jī)構(gòu)針對(duì)東歐國家實(shí)體發(fā)起網(wǎng)絡(luò)釣魚活動(dòng)。該活動(dòng)偽裝成俄羅斯政府聯(lián)邦法警局的官方通訊，向立陶宛、愛沙尼亞和俄羅斯電信、電子和工業(yè)部門的用戶發(fā)送俄語電子郵件，旨在提供名為DarkWatchman的無文件惡意軟件變種。研究人員認(rèn)為，Hive0117不屬于俄羅斯APT組織，也不屬于國家資助的執(zhí)行網(wǎng)絡(luò)間諜和網(wǎng)絡(luò)戰(zhàn)行動(dòng)的集群的一部分。
分享到微信
X