CCERT月報：網絡安全宣傳活動助力校園網安全防護
2023-11-06 中國教育和科研計算機網
9月是國家網絡安全宣傳周所在月，本次宣傳周主題是“網絡安全為人民，網絡安全靠人民”，結合該主題，各學校在9月開展了內容豐富的網絡安全宣傳活動，包括個人信息保護、數據安全治理、電信網絡詐騙、青少年網絡保護等宣傳內容，大大提高了學生們的安全意識，也對校園網安全防護能力的整體提升提供了幫助。
近期各類安全投訴事件數量整體呈低位態勢。近期沒有新增需要特別關注的木馬和病毒程序，需要關注的還是各類基于社會工程學的詐騙攻擊。
2023年8月-9月CCERT安全投訴事件統計
近期新增嚴重漏洞評述
01
微軟2023年9月的例行安全更新共包含微軟產品的安全漏洞59個，Edge瀏覽器的5個，非微軟產品的2個。
這些漏洞按等級分類，包含5個嚴重等級、53個重要等級和1個中危等級；按漏洞類型分類，包括權限提升漏洞18個、遠程代碼執行漏洞20個、信息泄露漏洞10個、安全功能繞過漏洞3個、欺騙漏洞2個、拒絕服務漏洞3個、XSS漏洞3個。
涉及的產品包括Windows內核、Windows組件Windows Common Log File System Driver、3D Viewer、3D Builder、Windows DHCP Server、微軟Office辦公軟件、微軟Streaming Service及ExchangServer等多個產品和組件。
這些漏洞中有兩個是0day漏洞，它們分別是微軟流服務代理本地權限提升漏洞（CVE-2023-36802）和Word信息泄露漏洞（CVE-2023-36761）。
前者允許攻擊者利用流服務代理的漏洞來提升權限，而后者則允許攻擊者在被攻擊者打開文檔（包括預覽窗格）時竊取NTLM哈希值，這些NTLM哈希值可被破解或用于NTLM中繼攻擊，以獲得對賬戶的訪問權限。由于該漏洞可以在預覽模式被利用，因此攻擊者甚至無需用戶點擊相關Word文件即可利用該漏洞。
鑒于上述漏洞的危害性，建議用戶盡快使用系統自帶的更新功能進行補丁更新。
02
WebP是Google開發的位圖文件格式，目的是為了取代JPEG、PNG及GIF等格式，它同時支持破壞性與非破壞性數據壓縮，該格式可用來創建更小、更豐富且傳輸更快的圖像。
近期互聯網上暴露出一個WebP代碼庫（libwebp）的堆溢出漏洞（CVE-2023-4863），由于該代碼庫在處理WebP格式時存在邊界錯誤，攻擊者只需引誘用戶訪問包含特制WebP圖形的網頁即可觸發溢出，進而執行任意命令。
目前使用了該庫的廠商（包括Google的Chrome瀏覽器、Mozilla的Firefox瀏覽器等）均已發布公告緊急修補該漏洞，建議用戶盡快進行升級。但由于該代碼庫屬于基礎開發庫，理論上該漏洞會影響所有使用了該代碼庫的應用，因此后續影響還需持續關注。
03
Adobe廠商發布了安全公告（APSB23-34），用于修補Adobe Acrobat和Reader產品中一個在野利用的安全漏洞（CVE-2023-26369）。
由于相關軟件中存在越界寫入缺陷，未經身份驗證的攻擊者利用該漏洞可在目標系統上執行任意代碼。
目前Adobe官方已在最新版本中修補了相關漏洞，建議用戶盡快進行升級。升級的方式和版本可參見：
https://helpx.adobe.com/security/products/acrobat/apsb23-34.html。
04
GitLab是一個基于網絡的開源軟件項目管理和工作跟蹤平臺，提供免費和商業版本。
GitLab近期修復了一個可讓攻擊者以其他用戶身份運行管道的嚴重漏洞（CVE-2023-5009）。
該漏洞是上個月GitLab修補的漏洞（CVE-2023-3932）補丁的繞過利用，利用該漏洞，攻擊者可以在用戶不知情或沒有權限的情況下冒充用戶來運行管道任務（一系列自動化任務），這可能會導致攻擊者訪問敏感信息或濫用被冒充用戶的權限來運行代碼、修改數據或觸發GitLab系統內的特定事件。
目前GitLab官方已經在最新版本中修補了該漏洞，建議相關使用GitLab系統的管理員盡快進行版本升級。
安全提示
鑒于近期各類0day漏洞頻發，筆者提醒用戶做好相關防護。要牢記以下幾點：
1.郵件中的重要信息需要再三確認，不貪圖便宜，不輕信恐嚇。
2.不點擊來歷不明的鏈接，不打開來歷不明的文檔。
3.及時安裝系統及軟件補丁，不用的應用及時卸載。
來源：《中國教育網絡》2023年9月刊
作者：鄭先偉（中國教育和科研計算機網應急響應組）
責編：項陽
特別聲明：本站注明稿件來源為其他媒體的文/圖等稿件均為轉載稿，本站轉載出于非商業性的教育和科研之目的，并不意味著贊同其觀點或證實其內容的真實性。如轉載稿涉及版權等問題，請作者在兩周內速來電或來函聯系。
相關閱讀
CCERT月報：構建立體化DNS安全防護體系2023/09/14
CCERT月報：Windows 啟用全新月度更新模式2023/08/09
CCERT月報：Ripple20 漏洞曝光 警惕物聯網安全風暴2020/07/07
CCERT月報：SMBv3 漏洞來襲！校園網需警惕2020/06/08
CCERT月報：開放外部訪問需做好安全防護2020/03/20
CCERT月報：網絡安全工作重心將向數據安全傾斜2020/01/22
CCERT月報：防范大數據平臺信息泄漏風險2019/10/09
CCERT月報：Windows遠程桌面服務存在高危漏洞2019/09/19
CCERT月報：Windows 啟用全新月度更新模式2023/08/09
CCERT月報：Ripple20 漏洞曝光 警惕物聯網安全風暴2020/07/07
CCERT月報：SMBv3 漏洞來襲！校園網需警惕2020/06/08
CCERT月報：開放外部訪問需做好安全防護2020/03/20
CCERT月報：網絡安全工作重心將向數據安全傾斜2020/01/22
CCERT月報：防范大數據平臺信息泄漏風險2019/10/09
CCERT月報：Windows遠程桌面服務存在高危漏洞2019/09/19
一起關注互聯網發展、互聯網技術、互聯網體系結構……
在教育部科技司領導下，中央電化教育館組織實施了教育信息化教學應用實踐共同體項目...
工作要點聚焦：教育信息化、網絡安全……都怎么干？
投稿、轉載或合作，請聯系：eduinfo#cernet.com (請將#替換為@)
版權所有：中國教育和科研計算機網網絡中心 CERNIC,CERNET
京ICP備15006448號-16 京網文[2017]10376-1180號 
京公網安備 11040202430174號
![京網文[2017]10376-1180號](/images/indexnew/www1024.jpg){kind=link}
關于假冒中國教育網的聲明 | 有任何問題與建議請聯絡：Webmaster@cernet.com