2021十大網絡安全熱點——漏洞篇
漏洞事件
1、Accellion零日漏洞攻擊：及時更新并安裝補丁
2021年2月，美國、加拿大、荷蘭及其他國家和地區的多個組織遭到嚴重的數據泄露，原因在于使用的FTA（File Transfer Appliance）文件傳輸服務存在漏洞。其中，美國零售巨頭克羅格是最大的受害者之一，旗下藥房及診所的員工及服務客戶數據被曝光。另外，能源巨頭殼牌公司、眾達律師事務所、新加坡電信、華盛頓州和新西蘭儲備銀行等均在受害者之列。據了解，Accellion FTA是美國Accellion公司開發的一個文件傳輸程序，能夠幫助企業使用一個本地或托管的私有云傳輸大的敏感的文件。
2、Microsoft在Exchange中修補了四個零日漏洞
2021年3月2日，微軟緊急發布了Microsoft Exchange中多個高危漏洞的風險通告，其中修復了四個已在野外被積極利用的零日漏洞(CVE-2021-26855、CVE-2021-26857、CVE-2021-26858和CVE-2021-27065)。據悉，全球已有數十萬臺Exchange服務器被攻擊，大量企業、政府部門被感染，超過6萬家組織受影響。攻擊者可以在目標系統中獲取敏感信息、寫入任意文件、執行惡意代碼等。
3、F5 BIG-IP/BIG-IQ 多個嚴重高危漏洞
2021年3月10日，F5官方發布安全通告，修復了未授權遠程代碼執行漏洞在內的多個嚴重高危漏洞。其中包括：CVE-2021-22986 BIG-IP/BIG-IQ iControl REST 未授權遠程代碼執行漏洞 ；CVE-2021-22987 BIG-IP TMUI 后臺遠程代碼執行漏洞 ；CVE-2021-22988 BIG-IP TMUI 后臺遠程代碼執行漏洞；CVE-2021-22989 Advanced WAF/ASM TMUI 后臺遠程代碼執行漏洞；CVE-2021-22990 Advanced WAF/ASM TMUI 后臺遠程代碼執行漏洞。
4、Chrome遠程代碼執行0Day 、微信PC版0Day
2021年4月13日,國外安全研究員發布了關于Google Chrome遠程代碼執行0Day漏洞的PoC詳情。Google官方同步發布了最新的Chrome安全通告，其中修復了pwn2own中攻破 Chrome 所使用的一個嚴重的安全漏洞（CVE-2021-21220），該漏洞影響x64架構的Chrome，攻擊者利用此漏洞，構造一個惡意的web頁面，用戶訪問該頁面時，會造成遠程代碼執行。大量采用Chrome內核的瀏覽器同樣也會受此漏洞影響，如微軟的Edge瀏覽器，影響版本：Chrome: <=89.0.4389.114，可通過在Chrome瀏覽器中輸入chrome://version查看版本等信息。受此影響，微信 < 3.2.1.141以下版本打開鏈接時都會調用內置Chrome瀏覽器，也會觸發此漏洞，導致遠程命令執行。
5、戴爾BIOS升級軟件出現漏洞：可遠程執行代碼，影響上億臺電腦
5月，安全研究升級Eclypsium，新發現升級，戴爾的遠程BIOS軟件出現了一個漏洞，會導致攻擊者劫持BIOS下載請求，并使用修改的進行文件。機構會吸收攻擊可以控制系統的啟動過程，破壞他人。
驅動漏洞存在于DBUtil 的檔案中，被統稱為CVE-2021-21551。其中4個漏洞則可被用于權限，剩下的1個存在被用于DoS攻擊的風險。
收到的報告后，戴爾已經通過修復更新的方式將漏洞補上。根據他們的估計，2009年恢復大約有 380個型號的產品都受到了影響，如果不修復可能會發生數億臺電腦設備都繼續提交在風險中。
6、runc符號鏈接掛載與容器逃逸漏洞
2021年5月31日，國外安全研究人員披露 CVE-2021-30465 runc 符號鏈接掛載與容器逃逸漏洞。在CVE-2021-30465 中，攻擊者可通過創建惡意POD及container，利用符號鏈接以及條件競爭漏洞，可掛載宿主機目錄至 container 中，并最終可能導致容器逃逸。
7、微軟6月更新多個高危漏洞
2021年6月9日，微軟官方發布漏洞安全補丁，共修復了50個針對微軟產品的CVE漏洞。涉及Windows操作系統、NET Core、Visual Studio、Microsoft Defender、scripting、EngineServer for NFS、Windows MSHTML Platform、Microsoft SharePoint Server等相關組件。其中 5 個嚴重漏洞，45個高危漏洞。目前 6 個漏洞已發現在野利用。
8、Microsoft Exchange遠程代碼執行漏洞POC公開
2021年8月5日，安全研究員公開了CVE-2021-34473 Microsoft Exchange Server 遠程代碼執行漏洞分析及其相關POC。攻擊者利用該漏洞可繞過相關權限驗證，進而配合其他漏洞可執行任意代碼，控制Microsoft Exchange Server。
9、VMware vCenter Server任意文件上傳漏洞
2021年9月22日，VMware官方發布安全公告，披露了包括 CVE-2021-22005 VMware vCenter Server任意文件上傳漏洞在內的多個中高危嚴重漏洞。在CVE-2021-22005中，攻擊者可構造惡意請求，通過vCenter中的Analytics服務，可上傳惡意文件，從而造成遠程代碼執行漏洞。
10、Log4Shell：震驚業界的Log4j2漏洞
Apache Log4j2 是一個基于 Java 的日志記錄工具。該日志框架被大量用于業務系統開發，用來記錄日志信息。12月9日，Log4j2 被爆出現核彈級利用成本極低危害極大的漏洞，黑客可通過發送一條指令即可控制目標設備。Log4j2 作為基礎日志組件被大量基礎服務在底層使用，據統計，該漏洞影響6萬+流行開源軟件，影響70%以上的企業線上業務系統！軟件在官方發布漏洞修復補丁后依舊被黑客多次繞過，幾乎所有的互聯網大廠都在通宵加急處理漏洞，避免造成黑客攻擊事件，沒想到道高一尺魔高一丈，剛修復完又馬上被黑客繞過。
