规避方案 – 绿盟科技技术博客

【威胁通告】Linux 多个内核拒绝服务漏洞

近日， Linux内核存在的多个拒绝服务漏洞被公布，涉及CVE-2017-8890、CVE-2017-9075、CVE-2017-9076、CVE-2017-9077，影响几乎所有Linux kernel 2.5.69 ~Linux kernel 4.11的内核版本。

当地时间2017年4月26日（北京时间2017年4月27日），软件集成平台Jenkins官方发布了安全通告，包含了更新修复程序，修复了数个安全漏洞（CVE-2017-1000356，CVE-2017-1000353，CVE-2017-1000354，CVE-2017-1000355）。

北京时间18日清晨，Apache Log4j 被曝出存在一个反序列化漏洞(CVE-2017-5645)。攻击者可以通过发送一个特别制作的2进制payload，在组件将字节反序列化为对象时，触发并执行构造的payload代码。

近日，WordPress的多个插件曝出漏洞，漏洞类型包括跨站脚本，SQL注入等。其中NextGEN Gallery插件的SQL注入影响上百万用户，允许未经身份认证的攻击者获取数据库中包括用户信息在内的敏感数据，NextGEN Gallary插件已经发布修复补丁。

2017年2月16日，OpenSSL官网发布安全通告，公布了编号为CVE-2017-3733的漏洞。在1.1.0e之前版本的OpenSSL握手阶段的重协商过程中，如果协商使用Encrypt-Then-Mac扩展，会导致OpenSSL崩溃。OpenSSL的服务端和客户端都受该漏洞的影响。

2017年2月15日，seclists.org网站发布了关于dotCMS存在SQL注入漏洞的消息。文章称，dotCMS 3.6.1及其之前的部分版本，在“/categoriesServlet”的q和inode参数上存在SQL注入，未经身份认证的攻击者可以利用该漏洞获取敏感数据。

日前，pierrekim.github.io网站发布了一个安全通告，公布了固件版本为“0.9.1 4.2 v0032.0 Build 160706 Rel.37961n”的TP-Link C2和C20i产品的多个漏洞。漏洞包括命令注入(需要身份认证)、拒绝服务以及不安全的默认配置。

2016.11.21日，NTF’s Network Time Protocol (NTP) 项目发布了 ntp-4.2.8p9 ,这是 ntp-4.2.8p8 发布以来的第一次更新。