分類: 漏洞攻擊

WordPress 漏洞讓數百萬網站陷入危險：趨勢科技有解

趨勢科技 TrendMicro

WordPress 熱門部落格平台最近發現的幾項零時差漏洞，讓全球數百萬網站陷入危險當中。這些漏洞是由芬蘭的資安研究人員 Jouko Pynnönen 所發現，可讓駭客在網站管理員的瀏覽器視窗內執行 JavaScript 程式碼，並且進一步以系統管理員的權限執行一些不法的作業，駭客甚至可以掌控該伺服器。WordPress 已經釋出一項列為重大安全更新的 WordPress 版本，呼籲所有使用者盡速更新。

漏洞 弱點攻擊

這些漏洞可讓駭客藉由回應、論壇、討論等等內容發動一個預存的跨網站腳本攻擊 (XSS)，這是危險性最高的一種 XSS 攻擊。其攻擊手法是將 HTML 和 JavaScript 內容連同 64KB 的文字加到一個 WordPress 部落格或網站的回應貼文內，接著這段程式碼將保存到 WordPress 資料庫當中。之後，當網站系統管理員打開首頁來檢視回應內容時，就會執行這段程式碼。

此惡意程式碼接著執行一些作業，例如將某個後門程式 (shell 檔案) 上傳到伺服器，或者新增一些擁有管理員權限的使用者帳號。如此一來，駭客就能利用上傳的後門程式來進入伺服器，或者使用新增的系統管理員帳號登入。這一切都在背後進行，因此真正的系統管理員並不知情，當然也未核准。

趨勢科技的建議和解決方案

我們呼籲 WordPress 網站系統管理員盡速升級至最新版本 (4.2.1) 來修正這些漏洞，這項工作可從 WordPress 的儀表板上就能輕鬆完成。

此外，以下的趨勢科技 Deep Security XSS 防範規則也可以防堵這些漏洞。此規則原本就已內建在產品當中，可防範利用這類漏洞的攻擊。當然，我們也建議您在套用此規則之後再確認一下您的伺服器是否仍遭到入侵。

  • 1000552 – Generic Cross Site Scripting (XSS) Prevention (防範通用跨網站腳本攻擊)

原文出處：WordPress Vulnerability Puts Millions of Sites at Risk; Trend Micro Solutions Available
作者：Jaydeep Dave (漏洞研究團隊)

《提醒》在粉絲頁橫幅,讚的右邊三角形選擇接收通知和新增到興趣主題清單,重要通知與好康不漏接

< WS 2003 EOS >你為Windows Server 2003終止支援做好準備了嗎？

趨勢科技 TrendMicro

你為Windows Server 2003終止支援做好準備了嗎？

如果你跟其他成千上萬公司一樣正在使用著 Windows Server 2003( WS 2003)。你的業務運作很可能正依賴著它。但當微軟在7月14日停止對此平台的支援終止支援( WS 2003 EOS)後，會對你重要的關鍵系統所造成的潛在影響尚未明瞭。但至少我們預期黑帽駭客會研究新的漏洞攻擊，針對仍然繼續使用此平台的企業用戶。

所有的公司最終都必須轉移到新版伺服器上，但對於無法趕及七月期限的公司來說，趨勢科技 Deep Security 可以保護你的組織，讓關鍵系統繼續平順地運行。在你計畫轉移到較新平台（如微軟的Windows Server 2012或Azure）時，趨勢科技可以幫你保護還在使用中的Windows 2003環境 — 而當你轉移到新平臺後，我們還可以繼續保護新的環境。趨勢科技Deep Security 會在2015年7月14日終止支援期限後繼續提供Windows 2003支援和防護，我們讓你可以透過單一平台來保護現有和新的伺服器。

倍增的威脅

如果過去幾個月帶給我們任何教訓，那就是IT團隊必須將任何運行中的軟體保持在最新版本。如 Shellshock、Heartbleed心淌血漏洞 和 FREAK 等知名漏洞可能會嚴重影響破壞公司對安全性所做的努力，也將敏感性資料置於危險之地。在7月14日後仍然使用Windows Server 2003的公司所要面對的問題是，微軟不再發布安全性更新以保護系統免於此類漏洞。  繼續閱讀

殭屍復活：「重新導向到SMB」漏洞

趨勢科技 TrendMicro

一個已經有18年的「重新導向到SMB( Redirect to SMB )」漏洞透過新攻擊手法而復活。此漏洞可以被用來將受害者重新導到一個惡意伺服器訊息塊（Server Message Block – SMB) 伺服器，除了存取網站外，無需使用者進行任何動作。

如果SMB安全策略不夠安全，SMB客戶端會嘗試發送身份驗證請求給惡意伺服器，並透過網路發送認證憑據。即使SMB認證憑據有經過加密保護，今天的暴力破解法已經可以在許多情況下破解認證憑據。

這種舊漏洞的新攻擊方式現在使用位置標頭為「location: File://192.168.0.1/share/doc.」。file://協定標頭可以在HTTP內透過標籤使用，像是<img>和<iframe>。

重要的是要考慮到此漏洞是新手法用上已經存在很久的舊漏洞。根據我們的研究，這個漏洞會影響Internet Explorer；而使用Windows API函數（透過URLMON.DLL）的應用程式也有此漏洞。

這種攻擊現在可以無需任何使用者互動就進行。關於此漏洞重要的是要了解什麼是「HTTP重新導向」。 繼續閱讀

沒有應用程式有漏洞？現在如何？

趨勢科技 TrendMicro

 

漏洞 弱點攻擊

回顧2014年，我們看到一大堆Adobe Acrobat、JAVA、Windows等軟體漏洞的出現。源源不斷的披露消息已經嚇不到任何人了。

令人驚訝的是兩個非常重要且廣泛的漏洞：Heartbleed心淌血漏洞和 Shellshock。

Heartbleed心淌血漏洞 是普遍的開放原始碼安全程式庫OpenSSL內的漏洞。如果你沒聽說過OpenSSL也不用擔心，一般使用者通常不會直接面對它。但它的確提供安全層給大部分的網站。

這個漏洞讓攻擊者可以存取OpenSSL伺服器儲存在記憶體內的資料。此層級的存取讓攻擊者可以用最小的努力就能危害連到伺服器的連線。

Shellshock是一個幾乎無處不在的命令列解譯器 – bash的漏洞。也沒有聽過bash？即使你自己沒有使用，但它可能存在於你正在使用或連上的系統或設備內。

這漏洞讓攻擊者可以輕易地在你的系統上執行任意指令。更糟的是，這攻擊只需要在請求中加入少少的幾個額外字元及很少的技術知識。 繼續閱讀

FREAK 漏洞導致加密強度降低

趨勢科技 TrendMicro

根據資安研究人員及新聞媒體指出，一個新發現的漏洞很可能從 90 年代就已延續至今。這個俗稱為 FREAK (Factoring RSA Export Keys) 的漏洞會導致安全連線降低加密強度，因而讓網路犯罪集團更容易解開加密的資訊。

SSL

從1990 年代存在至今的漏洞

此漏洞始於 1990 年代。當時，美國政府規定，凡是要出口的軟體「其使用的加密金鑰長度皆不得超過 512 位元」。根據研究人員的說法，這樣的加密強度在 90 年代或許足夠，但今日，一個 512 位元的 RSA 金鑰大約只要 7 小時就能破解，而且雲端上提供了龐大的運算效能，花個 100 美元就能買到。

儘管這項禁令在 90 年代後期即已解除，但有些 TLS 和 SSL 通訊協定軟體仍然支援這類所謂「出口等級」的加密模式。

FREAK 問題曝光

FREAK 漏洞是由法國巴黎 INRIA 機構的研究員 Karthikeyan Bhargavan 以及 miTLS (TLS 參考實作) 團隊所發現。他們發現 OpenSSL (1.0.1k 以前的版本) 與 Apple TLS/SSL 的用戶端都可能遭到中間人 (MITM) 攻擊。一旦含有漏洞的用戶端與伺服器之間的 HTTPS 連線遭到駭客從中攔截，駭客就能強迫連線採用老舊的出口等級加密方式。

如此一來，從中「竊聽」的駭客，就能更輕鬆地解開攔截到的資訊。

Apple 的 SecureTransport 軟體元件廣泛運用在 iOS 和 OS X 的應用程式當中，包括 iPhone、iPad 和 Mac 上隨附的 Safari 瀏覽器。至於 Android 的 OpenSSL 軟體元件也廣泛運用在瀏覽器及其他應用程式當中。就趨勢科技了解，只有含有 CVE-2015-0204 漏洞的 OpenSSL 版本才會遭到這項攻擊。 繼續閱讀