2011年回顧：漏洞和弱點攻擊(37％使用者用不安全的Java版本瀏覽網頁;56％的企業使用者用的是有弱點的Adobe)

在最近幾年，我們看到了駭客更加專注的在尋找客戶端軟體的落點。到了2011年，這類型的威脅已經變得既複雜又精密了。攻擊者越來越大量的使用零時差弱點，其中有些是非常嚴重的漏洞。像是Duqu所利用的弱點（CVE-2011-3402）、Java弱點（CVE-2011-3544）或Adobe軟體的零時差弱點，都被利用來作為弱點攻擊。

我們在今年所看到的弱點攻擊都很具有針對性、原創性、複雜且控制準確。

而所有的軟體裡，最被針對的就是Adobe Acrobat、Reader和Flash Player；Java執行環境（Java Runtime Environment，JRE）/ Java開發環境（Java Development Kit，JDK）還有IE瀏覽器。漏洞工具包像是Black Hole和Phoenix也都利用這些軟體的漏洞攻擊碼來提供攻擊的成功機率。我們也看到瀏覽器廠商們在這一年內發布多次的修補程式來修補關鍵漏洞。

攻擊容易成功是因為有很高比例的使用者都還是用未經修補、有弱點的軟體版本。根據一份 CSIS的研究報告，有37％的使用者還是用不安全的Java版本來瀏覽網頁。一份Zscaler的調查報告也指出56％的企業使用者用的是有弱點的Adobe產品版本。所以佈署虛擬修補技術也變成安全管理人員該做的事情，像是趨勢科技可保護實體、虛擬與雲端伺服器免受惡意攻擊的 Deep Security或是OfficeScan IDF外掛程式。

伺服器的安全漏洞

說到這裡，伺服器作業系統方面也是不遑多讓，有著相似的問題。底下顯示了Windows Server 2008和Redhat的弱點數量。

以上數據來自CVE Details

網路犯罪分子還會利用網頁應用程式的弱點。SQL Injection（資料隱碼）攻擊被用來入侵了數以百萬計的網頁。在兩起獨立的大規模SQL Injection攻擊裡，惡意程式碼被插入到正常的網站上。第一次出現在七月，受害者達到800萬個網站。第二次發生在十月，影響了100萬個網站。除了SQL Injection攻擊之外，利用Cross-Site Scripting（跨站腳本，XSS）攻擊、Cross-Site Request Forgery（跨站請求偽造，CSRF）、Directory Traversal（跨目錄存取）還有其他網頁應用程式的弱點（例如：PHP、WordPress和Joomla等）也都大量的發生，而且在明年也會繼續出現。

部分值得一提的2011年弱點：

CVE-2011-0609 Adobe Flash Player的SWF檔案遠端記憶體損毀弱點

CVE-2011-3402 Win32核心的True Type字體分析弱點

CVE-2011-3544 Oracle Java SE Rhino腳本引擎遠端程式碼執行弱點

CVE-2011-2462 Adobe Acrobat和Reader U3D記憶體損毀弱點

CVE-2011-0611 Adobe Flash Player的SWF檔案遠端記憶體損毀弱點

CVE-2011-3192 Apache httpd的遠端阻斷式攻擊

使用者可以怎麼做？

為了防止上述這些弱點攻擊，良好的修補管理措施是必要的。為了減輕修補週期間的損害，也必須要有虛擬修補解決方案來配合。

我們在2011年所看到的這些趨勢在2012年也會繼續下去。攻擊手法會變得更加複雜。對這些威脅的防禦也就必須跟著進化和調整，才能在2012年繼續保戶使用者。

＠原文出處：2011 in Review: Exploits and Vulnerabilities作者：Pawan Kinger（弱點研究經理）

@延伸閱讀