股票代碼：688225
打開微信“掃一掃”，開啟安全數字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
威脅周報 | 關于F5 BIG-IP iControl REST存在身份認證繞過漏洞的安全公告
發(fā)布時間 ：2022年05月11日
類型 ：勒索軟件
分享：
熱門病毒通告
亞信安全熱門病毒綜述 -
Ransom.Win32.MAOLOA.THAAHBA
此勒索病毒由其它惡意軟件釋放，或者用戶訪問惡意網站不經意下載到達本機，其添加如下注冊表自啟動項目值：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
WindowsUpdateCheck = {Executed Malware Directory}\rundll32.com
此勒索病毒避免加密文件名中包含以下字符串的文件：
windows
bootmgr
pagefile.sys
boot
ids.txt
NTUSER.DAT
PerfLogs
此勒索病毒避免加密如下擴展名文件：
.dll
.lnk
.ini
.sys
加密后的文件擴展名如下：
{original filename}.{original extension}.Globeimposter-Alpha865qqz
對該病毒的防護可以從下述鏈接中獲取最新版本的病毒碼：17.533.60
https://console.zbox.filez.com/l/2n6wBS
微軟5月補丁日安全漏洞風險通告
近日，亞信安全CERT監(jiān)控到微軟補丁日發(fā)布了74個漏洞的安全補丁，修復了.NET、Visual Studio Code、Microsoft Exchange Server、Microsoft Office、Microsoft Windows ALPC、Visual Studio、Windows Active Directory、Windows LDAP、 Remote Desktop Client、 Windows Network File System、 NTFS、Windows Print Spooler等產品中的漏洞。其中有7個漏洞評級為嚴重，66個被評為重要，1個被評為低危。
漏洞描述
近日，亞信安全CERT監(jiān)控到F5廠商公布了BIG-IP iControl REST漏洞。攻擊者利用該漏洞，可在未授權的情況下執(zhí)行任意系統(tǒng)命令，創(chuàng)建或刪除文件以及禁用服務。目前，漏洞利用細節(jié)已公開，廠商已發(fā)布補丁完成修復。
F5 BIG-IP是美國F5公司一款集成網絡流量管理、應用程序安全管理、負載均衡等功能的應用交付平臺（ADN）。F5 BIG-IP充分利用了F5的TMOS構架，改進了鏈路性能，同時提供較為靈活的狀態(tài)檢查功能。
漏洞編號及等級
CVE-2022-1388 高危
漏洞細節(jié)
漏洞細節(jié) | 漏洞PoC | 漏洞EXP | 在野利用 |
公開 | 公開 | 公開 | 存在 |
受影響的版本
16.x（16.1.0 - 16.1.2）
15.x（15.1.0 - 15.1.5）
14.x（14.1.0 - 14.1.4）
13.x（13.1.0 - 13.1.4）
12.x（12.1.0 - 12.1.6）（官方不提供補丁）
11.x（11.6.1 - 11.6.5）（官方不提供補?。?/p>
漏洞復現
漏洞修復
※ F5公司已發(fā)布新版本修復該漏洞，亞信安全建議用戶立即升級至最新版本。
※ 在未打補丁之前，可通過以下措施進行緩解：
1.通過自身IP地址阻止iControl REST訪問。
您可以通過自有IP地址阻止對BIG-IP系統(tǒng)的iControl REST接口的所有訪問。為此，您可以將系統(tǒng)中每個自身IP地址的端口鎖定設置更改為允許無。如果您必須打開任何端口，您應該使用允許自定義選項，注意禁止訪問iControl REST。默認情況下，iControl REST在單個NIC BIG-IP VE實例上偵聽TCP端口443或TCP端口8443。如果您修改了默認端口，請確保您禁止訪問您配置的備用端口。
2. 通過管理界面阻止iControl REST訪問。
要緩解受影響的F5產品的此漏洞，您應該將管理訪問權限限制為僅對安全網絡上的受信任用戶和設備進行。
3.修改BIG-IP httpd配置
除了通過自有IP地址和管理界面阻止訪問之外，或者如果這些選項在您的環(huán)境中不可行，則作為阻止訪問的替代方法，您可以修改BIG-IP httpd配置以緩解此問題。
BIG-IP 14.1.0及更高版本
程序的影響：執(zhí)行以下程序不會對您的系統(tǒng)產生負面影響。
輸入以下命令， 登錄BIG-IP系統(tǒng)的 TMOS Shell ( tmsh )：
tmsh
通過輸入以下命令，打開httpd配置進行編輯：
edit /sys httpd all-properties
找到以include none開頭的行并將none替換為以下文本：
?注意：如果當前的include語句已經包含非none的配置，請將以下配置添加到當前配置的末尾，在現有的雙引號字符 ( " ) 內。
Bash
"<If\"%{HTTP:connection} =~ /close/i \">
RequestHeader set connection close
</If>
<ElseIf \"%{HTTP:connection} =~ /keep-alive/i \">
RequestHeader set connection keep-alive
RequestHeader set connection close
"
更新include語句后，使用ESC鍵退出編輯器交互模式，然后輸入以下命令保存更改：
:wq
在保存更改 (y/n/e)提示下，選擇y以保存更改。
通過輸入以下命令保存 BIG-IP 配置：
save /sys config
BIG-IP 14.0.0及更早版本
程序的影響：執(zhí)行以下程序不會對您的系統(tǒng)產生負面影響。
通過輸入以下命令，登錄到BIG-IP系統(tǒng)的tmsh：
tmsh
通過輸入以下命令，打開httpd配置進行編輯：
edit /sys httpd all-properties
找到以include none開頭的行并將none替換為以下文本：
?注意：如果當前的include語句已經包含非none的配置，請將以下配置添加到當前配置的末尾，在現有的雙引號字符 ( " ) 內。
"RequestHeader set connection close"
更新include語句后，使用ESC鍵退出編輯器交互模式，然后輸入以下命令保存更改：
:wq
在保存更改 (y/n/e)提示下，選擇y以保存更改。
通過輸入以下命令保存 BIG-IP 配置：
save /sys config
韓國正式加入北約網絡防御中心
5月5日，韓國國家情報院宣布作為正式會員加入北大西洋公約組織(NATO)合作網絡防御卓越中心(CCDCOE)。由此，韓國成為首個加入該機構的亞洲國家。韓國加入該機構后，正式會員國增至32個，包括北約27個成員國和其他5個非成員國。
美國能源供應商遭到黑客入侵導致客戶信息泄露
近日，美國能源供應商Riviera Utilities發(fā)表聲明稱其部分員工電子郵件賬戶遭到入侵，攻擊者獲得了這些賬戶的臨時訪問權限，其中包括姓名、社會安全號碼、駕駛執(zhí)照或州身份證號碼、護照號碼、醫(yī)療信息、健康保險信息、信用卡或借記卡號碼、卡到期日期等信息。
截至目前，Riviera Utilities證實沒有任何個人信息因該事件而被濫用。但是，出于謹慎考慮，該公司通知了可能受影響的個人，并且考慮向社會安全號碼受影響的個人提供免費的信用監(jiān)控服務。
澳大利亞交通局遭到網絡攻擊，數據隱私安全受到影響
近日，澳大利亞新南威爾士州的交通局被曝遭到網絡攻擊，攻擊者在其在線授權檢查計劃(AIS)應用程序中未經授權入侵了部分用戶帳戶，導致用戶數據隱私安全受到影響。由于 AIS 授權檢查計劃要求用戶提交在線申請時填寫填寫個人詳細信息，包括他們的全名、地址、電話號碼、電子郵件地址、出生日期和駕駛執(zhí)照號碼，新南威爾士州交通局網絡攻擊事件可能導致客戶隱私數據發(fā)生泄露。
間諜軟件瞄準西班牙首相和國防部長設備展開攻擊
西班牙政府官員于近日在新聞發(fā)布會上表示，西班牙首相和國防部長使用的手機感染了Pegasus間諜軟件。2021年5月Pegasus間諜軟件入侵了總理的手機，繼而6月國防部長的手機成為攻擊目標。Pegasus間諜軟件通過訪問電話、消息、媒體、電子郵件、麥克風和攝像頭來監(jiān)視目標的電話。據The Citizen Lab上個月發(fā)布的研究顯示，針對歐洲議會官員和加泰羅尼亞總統(tǒng)、立法者、法學家和民間社會組織的成員的65個間諜軟件攻擊事例，其中63個使用了Pegasus間諜軟件。
Pegasus間諜軟件是以色列NSO Group臭名昭著的間諜工具。多年來，Pegasus被各國政府和人權組織所標記，列入黑名單。由于該公司宣傳該軟件是政府監(jiān)控犯罪活動和恐怖主義的一種手段，旨在監(jiān)控、侵犯人權行為，遭到部分國家的聯合抵制。
Hive0117組織冒充俄羅斯政府機構攻擊電信公司
Hive0117是出于經濟動機的網絡犯罪組織，該組織自2022年2月起，冒充俄羅斯機構針對東歐國家實體發(fā)起網絡釣魚活動。該活動偽裝成俄羅斯政府聯邦法警局的官方通訊，向立陶宛、愛沙尼亞和俄羅斯電信、電子和工業(yè)部門的用戶發(fā)送俄語電子郵件，旨在提供名為DarkWatchman的無文件惡意軟件變種。研究人員認為，Hive0117不屬于俄羅斯APT組織，也不屬于國家資助的執(zhí)行網絡間諜和網絡戰(zhàn)行動的集群的一部分。
分享到微信
X