被利用达数百万次、瞄准 Linux 系统的 Top 15漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

趋势科技公司发布 Linux 威胁全景报告指出，近1400万台基于 Linux 的系统直接暴露在互联网上，使其成为真实世界攻击者的目标，从而导致恶意部署 web shell、密币挖矿机、勒索软件和其它木马等。

报告根据从蜜罐、遥感器和匿名遥测获取的数据，详细说明了2021年上半年影响 Linux 系统的最大威胁和漏洞。报告检测了近1500万个针对 Linux 云环境的恶意软件事件，发现密币挖矿机和勒索软件占所有恶意软件的54%，web shell 占比29%。

另外，分析同期针对10万个唯一 Linux 主机报告的5000多万起事件，研究员发现了15个不同的、正遭在野利用或具有 PoC 的安全弱点，如下。

•  CVE-2017-5638（CVSS评分10分）——Apache Struts 2 远程代码执行漏洞

• CVE-2017-9805（CVSS评分8.1）—— Apache Struts 2 REST 插件 XStream RCE 漏洞

• CVE-2018-7600（CVSS评分9.8）—— Drupal Core RCE 漏洞

• CVE-2020-14750（CVSS评分9.8）—— Oracle Weblogic Server RCE 漏洞

• CVE-2020-25213（CVSS 评分10）—— WordPress File Manager (wp-file-manager) 插件RCE漏洞

• CVE-2020-17496（CVSS评分9.8）—— vBulletin ‘subwidgetConfig’ 未认证 RCE 漏洞

• CVE-2020-11651（CVSS评分9.8）—— SaltStack Salt 授权弱点漏洞

• CVE-2020-12611（CVSS评分9.8）—— Apache Struts OGNL 表达式 RCE漏洞

• CVE-2020-7657（CVSS评分9.8）—— Eclipse Jetty 块长度解析整数溢出漏洞

• CVE-2021-29441（CVSS评分9.8）—— 阿里巴巴 Nacos AuthFilter 认证绕过漏洞

• CVE-2020-14179（CVSS评分5.3）—— Atlassian Jira 信息泄露漏洞

• CVE-2013-4547（CVSS评分8.0）—— Nginx 构造URI 字符串处理访问权限限制绕过漏洞

• CVE-2019-0230（CVSS评分9.8）——Apache Struts 2 RCE 漏洞

• CVE-2018-11776（CVSS评分8.1）—— Apache Struts OGNL 表达式 RCE 漏洞

• CVE-2020-7961（CVSS评分9.8）——Liferay Portal 不可信反序列化漏洞

更让人担心的是，官方 Docker Hub 库中最常用的 Docker 镜像被指含有数百个漏洞，涉及 python、node、wordpress、golang、nginx、postgres、influxdb、httpd、mysql、debian、memcached、redis、mongo、centos和 rabbitmq，强调了在开发管道的每个阶段需要保护容器免受大量潜在威胁的重要性。

报告总结道，“用户和组织机构应当总是应用安全最佳实践，包括使用设计安全方法、部署多层虚拟补丁或漏洞屏障，应用最小权限原则并遵循责任共担模式。”

推荐阅读

Linux glibc 库的修复方案扯出更严重的新漏洞
Linux OS 曝新漏洞 攻击者可在多数发行版获root 权限
Linux 应用市场易受RCE和供应链攻击，多个0day未修复
可蠕虫 DarkRadiation 勒索软件瞄准 Linux 和 Docker 实例
Linux 多个发行版本被曝存在7年之久的提权漏洞

原文链接

https://thehackernews.com/2021/08/top-15-vulnerabilities-attackers.html

题图：Pixabay License

文内图：hackernews

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~