天融信阿尔法实验室 https://wechat2rss.xlab.app/feed/a9cfdddef757b0ebac0428f629869b69028c43fa.xml 天融信阿尔法实验室将不定期推出技术研究新方向成果，专注安全攻防前沿技术 (wechat feed made by @ttttmr https://wechat2rss.xlab.app) (天融信阿尔法实验室) https://wx.qlogo.cn/mmhead/Q3auHgzwzM7BcpbVhdGzLaXuSfCBg1ibBPaUxKfWoowOeEI1kibicrpHw/0 天融信阿尔法实验室 https://wechat2rss.xlab.app/feed/a9cfdddef757b0ebac0428f629869b69028c43fa.xml 【风险提示】天融信关于 Fastjson 1.2.83 默认配置下远程代码执行漏洞的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247497072&idx=1&sn=8fca263a9a6d7154f01c872f45eeda83 近日，阿尔法实验室监测到安全研究员 Kirill Firsov (@k_firsov) 公开披露 Fastjson 1.x 末代版本存在一处严重的远程代码执行漏洞。该漏洞影响面极大，建议受影响用户尽快开展资产排查并采取升级修复或临时缓解措施。 天融信应急响应 2026-07-21 18:27 四川

近日，阿尔法实验室监测到安全研究员 Kirill Firsov (@k_firsov) 公开披露 Fastjson 1.x 末代版本存在一处严重的远程代码执行漏洞。该漏洞影响面极大，建议受影响用户尽快开展资产排查并采取升级修复或临时缓解措施。

1背景介绍

近日，阿尔法实验室监测到安全研究员 Kirill Firsov (@k_firsov) 公开披露 Fastjson 1.x 末代版本存在一处严重的远程代码执行漏洞。该漏洞的特殊之处在于，攻击者通过 Fastjson 默认 JSON 解析入口即可触发，不需要任何第三方反序列化 gadget chain（commons-collections、Spring AOP、JdbcRowSetImpl 等均不需要），未启用 SafeMode 的实例全部受影响。鉴于 Fastjson 作为阿里巴巴开源的高性能 JSON 库，被广泛应用于 Java 企业级应用、微服务架构、缓存序列化、协议交互及 Web 输出等场景，全球 Maven 依赖量巨大，该漏洞影响面极大，建议受影响用户尽快开展资产排查并采取升级修复或临时缓解措施。

2漏洞描述

Fastjson 是阿里巴巴开源的 Java 语言编写的高性能功能完善的 JSON 库，采用“假定有序快速匹配”的算法，是目前 Java 语言中最快的 JSON 库之一，被大量企业级应用、电商平台及中间件采用。

在 Fastjson 1.2.83 中，程序处理 JSON 数据中的 @type 字段时，未在资源查找前充分校验类型名称的合法性，便将其转换为类文件查找请求并交给类加载器处理。在部分 Spring Boot 可执行 Jar 环境中，类加载器会将此类异常请求继续传递给底层资源处理机制，导致攻击者控制的外部资源可能被当作类文件加载到应用进程中，攻击者通过 Fastjson 默认 JSON 解析入口构造特定的 @type 字段，利用 jar:http 协议实现远程类加载，进而执行任意代码。

该漏洞不再依赖目标系统中已有的反序列化 Gadget 类，而是直接利用 Fastjson 类型处理与类加载机制之间的缺陷。需要特别说明的是，关闭 autoTypeSupport 并不能有效防御此漏洞。

版本差异方面，JDK 8与JDK 9及以上版本的表现存在不同：JDK 9+ 会阻断部分直接加载路径，但无法完全消除风险；实测表明，JDK 11、JDK 17 在 Linux 环境下配合兼容的 Spring Boot FatJar 仍可构成完整攻击链。启用 Fastjson SafeMode 可在处理类型信息的早期阶段直接拒绝此类请求，是当前最有效的应用侧防护措施。

漏洞复现：

3漏洞编号

暂无

4漏洞等级

严重

5受影响版本

Fastjson 1.2.68 – 1.2.83

6修复建议

6.1 临时修复

如暂时无法立即升级，可采取以下临时措施降低风险：

1、立即启用 Fastjson SafeMode。可通过 JVM 参数 -DFastjson.parser.safeMode=true 开启；上线后应确认所有业务使用的 ParserConfig 都已生效。

2、不要把外部 JSON 直接传给通用解析接口。接口应使用固定 DTO 和明确字段进行解析；对于没有多态需求的接口，直接拒绝 @type 字段。

6.2 升级修复

建议受影响用户尽快迁移到 Fastjson 2.x。Fastjson2 从架构层面重新设计了 autoType，默认安全。如果业务代码量大，可保留 Fastjson1 兼容包过渡：

https://github.com/alibaba/Fastjson2

7声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Tue, 21 Jul 2026 18:27:00 +0800 【风险提示】天融信关于WordPress Core预认证远程代码执行漏洞链wp2shell（CVE-2026-63030）的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247497065&idx=1&sn=96b10823e37a18659b50ab9166138d92 近日，WordPress 官方修复了 WordPress Core 中存在的预认证远程代码执行漏洞链，该漏洞链被安全研究人员命名为“wp2shell”，由CVE-2026-63030和CVE-2026-60137两个独立漏洞组合形成，可被串联利用以实现针对WordPress站点的预认证远程代码执行。 天融信应急响应 2026-07-20 15:23 四川

近日，WordPress 官方修复了 WordPress Core 中存在的预认证远程代码执行漏洞链，该漏洞链被安全研究人员命名为“wp2shell”，由CVE-2026-63030和CVE-2026-60137两个独立漏洞组合形成，可被串联利用以实现针对WordPress站点的预认证远程代码执行。

1背景介绍

近日，WordPress 官方修复了 WordPress Core 中存在的预认证远程代码执行漏洞链，该漏洞链被安全研究人员命名为“wp2shell”，由CVE-2026-63030和CVE-2026-60137两个独立漏洞组合形成，可被串联利用以实现针对WordPress站点的预认证远程代码执行。攻击者无需任何账号权限、无需安装任何第三方插件，仅通过匿名HTTP请求即可对默认安装的WordPress站点发起攻击。鉴于WordPress全球部署量超过5亿个网站，该漏洞影响面极大，建议受影响用户尽快开展资产排查并采取升级修复或临时缓解措施。

2漏洞描述

WordPress是全球使用最广泛的开源内容管理系统（CMS），被大量个人博客、企业官网及电商平台采用。

wp2shell 预认证远程代码执行漏洞是由两个独立漏洞串联形成的完整攻击链：

1、REST API 批处理路由混淆（CVE-2026-63030）：WordPress REST API的批处理路由引擎在单个请求包内运行多个内部子请求，由于解析过程中存在数组错位错误，未经身份验证的用户可使处理程序索引错位，从而使子请求完全绕过系统的校验过滤机制。该漏洞点位于WP_REST_Server::serve_batch_request_v1()函数中，是整个攻击链的入口点。

2、WP_Query SQL注入（CVE-2026-60137）：该漏洞存在于WP_Query的'author__not_in'参数中，是一个高危SQL注入漏洞，攻击者借助前述路由混淆绕过校验后，可利用该注入点读取数据库内容，包括管理员密码哈希等敏感信息。

两个漏洞组合后，可使攻击者具备向服务器文件系统中植入任意PHP文件的能力（如利用后台的插件上传功能等），最终导致服务器完全沦陷。

3漏洞编号

CVE-2026-63030（REST API 路由混淆）
CVE-2026-60137（WP_Query SQL 注入）

4漏洞等级

严重

5受影响版本

完整RCE攻击链影响WordPress 6.9.0至6.9.4版本，以及WordPress 7.0.0至7.0.1版本。

SQL注入漏洞（CVE-2026-60137）单独影响WordPress 6.8.0至6.8.5版本，但由于REST API路由混淆漏洞是在WordPress 6.9版本中引入的，该版本无法被串联利用以实现远程代码执行。

WordPress 6.8之前的版本不受影响。

6修复建议

6.1 临时修复

如暂时无法立即升级，可采取以下临时措施降低风险：

通过 WAF 或 Web 服务器配置对 REST API 批处理接口（/wp-json/*/batch等相关路由）的异常请求进行监控与限制。

6.2 升级修复

建议受影响用户尽快将 WordPress 升级至官方已修复版本。

6.9.x 分支升级至 6.9.5
7.0.x 分支升级至 7.0.2
6.8 分支单独存在SQL注入问题，需升级至6.8.6

官方更新链接： 

https://wordpress.org/news/2026/07/wordpress-7-0-2-release/

7参考链接

1、https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-ff9f-jf42-662q

2、https://github.com/dinosn/wp2shell-lab

8声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Mon, 20 Jul 2026 15:23:00 +0800 【风险提示】天融信关于防范AI编程工具Claude Code安全后门隐患的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496951&idx=1&sn=20eb03bc0168453f0541829356828612 近日，天融信阿尔法实验室监测到Anthropic开发的AI编程工具Claude Code存在安全后门隐患，该后门最初由Reddit网站上的LegitMichel777用户公开。 天融信应急响应 2026-07-09 18:49 北京

近日，天融信阿尔法实验室监测到Anthropic开发的AI编程工具Claude Code存在安全后门隐患，该后门最初由Reddit网站上的LegitMichel777用户公开。

1一、背景介绍

  近日，天融信阿尔法实验室监测到Anthropic开发的AI编程工具Claude Code存在安全后门隐患，该后门最初由Reddit网站上的LegitMichel777用户公开。该工具在特定版本中添加了监控机制，未经用户同意通过隐蔽手段向远程服务器回传用户地域、身份标识等敏感信息，危害严重。阿里巴巴内部已全面禁用Claude Code。

  Claude Code启动时会检查用户是否启用了代理，若启用，它会对系统提示词进行修改，隐蔽传输以下信息：用户是否身处中国、是否使用了国内API中转站及国内AI大模型厂商API域名。Anthropic还在Claude Code的二进制文件中对上述后门相关代码进行了混淆处理。

  受影响的Claude Code版本为2.1.91至2.1.196。

2二、后门分析

分析环境： Claude Code版本：2.1.196
源代码提取工具：GitHub Gist - TheCjw/extract_bun.js

2.1 源代码提取

  Claude Code的Windows版本是一个体积庞大的单文件，大小大约在200MB到250MB之间。它是通过Bun编译为二进制文件的，下面通过extract_bun.js工具从claude.exe二进制文件中提取出JavaScript源代码，工具输出如图1所示。

图1 extract_bun.js工具输出

  提取出的源代码目录结构如图2所示。

图2 提取出的源代码目录结构

  关键后门代码在src/entrypoints/cli.js文件中，该文件中的代码是未进行代码格式化的，较难阅读，需要先进行JavaScript代码格式化后再分析。

2.2 代理检测

  cli.js中的代理检测代码如图3所示。

图3 cli.js中的代理检测代码

  ANTHROPIC_BASE_URL是一个环境变量，用于自定义Anthropic官方API客户端（如Claude Code、Anthropic SDK等）所请求的服务器地址。通过设置此环境变量，可以将本应发送到Anthropic官方服务器的请求，重定向到其他兼容的服务器上。

  上述代码的含义是若未设置ANTHROPIC_BASE_URL环境变量或该环境变量值的URL中包含api.anthropic.com域名，则Art()函数返回True，表示未使用代理。只有当Art()函数返回False时，才会执行相应的后门代码。

2.3 关键后门代码

  关键后门代码如图4、5、6所示。

图4 tkt()函数的代码

  tkt()函数用于惰性获取并返回当前系统的时区信息。

图5 jup()函数的代码

  jup()函数用于获取ANTHROPIC_BASE_URL环境变量值的URL中的主机名。

图6 Wup()函数的代码

  Wup()函数是最核心的代码，其会返回包含4个字段的检测结果。known字段表示ANTHROPIC_BASE_URL的域名是否存在于国内API中转站域名黑名单中，labKw字段表示ANTHROPIC_BASE_URL的域名中是否存在于国内AI大模型厂商域名关键字黑名单中，cnTZ字段表示当前系统时区是否是中国的（上海或乌鲁木齐），host字段是ANTHROPIC_BASE_URL的域名。

  Claude Code的系统提示词中存在“Today's date is 当前日期.”。正常情况下，当前日期的格式为YYYY-MM-DD。若检测到用户位于中国，则会对上述提示词中的撇号与日期格式进行变换，然后传输到Anthropic的服务器。具体的替换逻辑如图7所示。

图7 系统提示词替换逻辑（注释由分析者添加）

  “国内API中转站域名黑名单”和“国内AI大模型厂商域名关键字黑名单”是加密保存的，并通过图8、9所示代码进行解密。

图8 黑名单解密逻辑
图9 黑名单解密逻辑

  由图8、9可知，这两个黑名单解密过程是先进行Base64解码，再逐字节与91异或。解密后的“国内API中转站域名黑名单”和“国内AI大模型厂商域名关键字黑名单”如图10所示。

图10 国内中转站域名和AI大模型厂商域名关键字黑名单（注释由分析者添加）

3三、使用建议

  据NVDB通报：建议相关单位和用户立即开展全面排查，对于安装上述受影响版本的开发终端，立即卸载或升级至已清除相关后门代码的最新安全版本；加强核心业务网段内开发工具外联权限管控与流量监测，防止敏感数据违规外传。

  此外，我们建议，提升开发人员安全意识，必要时进行安全隔离，进一步加强企业数据安全管理。

4四、声明

  天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Thu, 09 Jul 2026 18:49:00 +0800 【风险提示】天融信关于Linux Kernel本地权限提升漏洞CVE-2026-46242(Bad Epoll)的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496716&idx=1&sn=fc7a8879079acd68f4c7ba4266acadd7 近日，天融信阿尔法实验室监测到Linux Kernel主线修复了一个本地权限提升漏洞CVE-2026-46242（Bad Epoll）。当前，此漏洞的细节及Exp已经公开，部分主流Linux发行版已发布针对该问题的补丁或更新，因此，请受影响用户立即根据修复建议对该漏洞进行防御。 天融信应急响应 2026-07-04 23:29 北京

近日，天融信阿尔法实验室监测到Linux Kernel主线修复了一个本地权限提升漏洞CVE-2026-46242（Bad Epoll）。当前，此漏洞的细节及Exp已经公开，部分主流Linux发行版已发布针对该问题的补丁或更新，因此，请受影响用户立即根据修复建议对该漏洞进行防御。

0x00 背景介绍

近日，天融信阿尔法实验室监测到Linux Kernel主线修复了一个本地权限提升漏洞CVE-2026-46242（Bad Epoll）。成功利用该漏洞不仅可以在Linux桌面版和服务器版上获取root权限，还可以在安卓设备上获取root权限，且可以在Chrome渲染器的沙箱内触发，所以该漏洞的影响较大，这是由于大多数Linux本地提权漏洞无法在安卓内核中进行利用，也无法在Chrome渲染器的沙箱内触发。当前，此漏洞的细节及Exp已经公开，部分主流Linux发行版已发布针对该问题的补丁或更新，因此，请受影响用户立即根据修复建议对该漏洞进行防御。

0x01 漏洞描述

Linux内核是一个开源、宏内核但支持动态模块加载的操作系统核心，负责管理硬件资源并为上层软件提供运行环境。它通过进程调度、内存管理、虚拟文件系统、网络协议栈和设备驱动等关键子系统，实现对CPU、内存、磁盘及外设的抽象与调度，并提供稳定、安全和高效的接口供应用程序使用。凭借高可移植性、丰富的驱动支持和强大的社区协作，其已成为从嵌入式设备到超级计算机、从安卓系统到云服务器广泛采用的基础核心。

CVE-2026-46242（Bad Epoll）是Linux Kernel eventpoll子系统的一个条件竞争导致的释放后重用UAF漏洞。成功利用该漏洞的本地攻击者可以获取目标系统的root权限。当一个eventpoll文件描述符监视另一个eventpoll文件描述符时，同时关闭这两个文件描述符会触发fs/eventpoll.c中的条件竞争漏洞。当__ep_remove()函数执行WRITE_ONCE(file->f_ep, NULL)时，对同一目标文件并发的__fput()操作会在eventpoll_release()函数的无锁快速路径上检测到f_ep==NULL，从而跳过执行eventpoll_release_file()函数，直接释放目标的eventpoll和file对象。__ep_remove()会继续通过指针写入这些已释放的对象，导致释放后重用UAF漏洞。

虽然该漏洞的竞争窗口仅有6条指令左右，通常的尝试几乎不可能赢得竞争条件，但漏洞利用可以扩大竞争窗口，并运行一个永远不会导致内核崩溃的重试循环，使漏洞利用成功率达到99%。

利用条件：

1、Capabilities：不需要

2、内核配置：CONFIG_EPOLL

3、是否需要用户命名空间：否

0x02 漏洞根本原因分析

epoll是Linux的I/O事件多路复用机制，允许单个程序同时监视大量文件描述符与网络连接。Nginx、Node.js、Chrome等几乎所有现代服务与浏览器都依赖它，且无法关闭。Bad Epoll的本质是内核中两条对象清理路径并发执行时引发的条件竞争：一条路径已将某内核对象释放，另一条路径仍在向其写入，从而导致释放后重用(UAF)。

该漏洞的触发过程如下所示。

上图创建了两个epoll文件描述符ep_waiter和ep_target，其中ep_waiter监视ep_target。对于每个文件描述符ep_X，epoll_X 是其结构体eventpoll，file_X是其结构体file。

线程B释放了两个对象epoll_target和file_target，而线程A的__ep_remove()函数仍然引用它们，因此，条件竞争导致了两次不同的释放后重用UAF。

[1]处是对结构体file的静默UAF，epi->ffd.file持有目标file，但其f_count始终未增加，因此，__ep_remove()会持续操作已释放（可能已被回收）的file_target，同时持有其f_lock。is_file_epoll(file)读取的结果即为UAF读取。如果释放的file立即被回收为非事件轮询文件[0]，则free_ephead()会将 &epoll_target->refs释放到错误的缓存（kmalloc-192）中，导致无效释放[3]。

[2]处是对结构体eventpoll的UAF（在偏移量160字节处写入 0，在kmalloc-192中分配）。hlist_del_rcu(&epi->fllink)通过悬空的epi->fllink.pprev写入*pprev=0，该指针指向已释放的&epoll_target->refs（已释放的eventpoll对象内部160字节处）。

Linux Kernel对此漏洞的补丁如下所示。

在ep_remove()的开头，通过epi_fget()锁定@file，并在锁定成功时触发临界区。由于锁定成功，@file无法达到引用计数为零，从而阻止__fput()的执行，并间接地保持被监视的struct eventpoll在hlist_del_rcu()和f_lock使用期间处于活动状态，最终关闭两个UAF。

0x03 漏洞编号

CVE-2026-46242

0x04 漏洞等级

高危

0x05 受影响版本

受影响的Linux内核版本：

58c9b016e128 <= Linux Kernel Commit < a6dc643c693

已知受影响的发行版：

Red Hat Enterprise Linux 10

Red Hat Enterprise Linux 9

Ubuntu 24.04 LTS

Ubuntu 25.10

Ubuntu 26.04 LTS

Debian 13 (Trixie)

Debian 14 (Forky)

已知的安卓设备影响范围：

Google Pixel 10（Linux内核版本6.6及以上）：受影响。

Google Pixel 8和其他基于Linux内核6.1的设备：不受影响，因为该漏洞在Linux内核6.4中引入。

0x06 修复建议

Linux Kernel已发布正式补丁，建议受影响用户尽快将Linux Kernel升级到包含补丁的安全版本。

官方补丁链接：

https://git.kernel.org/stable/c/a6dc643c69311677c574a0f17a3f4d66a5f3744b

各个Linux发行版漏洞公告链接：

Debian：https://security-tracker.debian.org/tracker/CVE-2026-46242

Ubuntu：https://ubuntu.com/security/CVE-2026-46242

Red Hat：https://access.redhat.com/security/cve/cve-2026-46242

由于Linux Kernel的epoll子系统操作系统、网络服务和浏览器都依赖的核心内核功能，无法像Copy Fail及其变种漏洞那样通过卸载受攻击的模块来进行临时缓解，修复此漏洞的唯一方法就是应用补丁，将Linux Kernel升级至安全版本。

0x07 声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Sat, 04 Jul 2026 23:29:00 +0800 【风险提示】天融信关于Linux Kernel本地权限提升漏洞Dirty Frag的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496708&idx=1&sn=d371ec89db29d4d25db8e5dd5d339c2c 近日，天融信阿尔法实验室监测到Linux Kernel主线修复了一个本地权限提升漏洞Dirty Frag。该漏洞已存在9年，影响几乎所有主流企业级和桌面Linux发行版。由于该漏洞是一个逻辑漏洞，因此漏洞利用成功率极高。当前，此漏洞的细节及Exp已经公开。 天融信应急响应 2026-05-08 12:37 北京

近日，天融信阿尔法实验室监测到Linux Kernel主线修复了一个本地权限提升漏洞Dirty Frag。该漏洞已存在9年，影响几乎所有主流企业级和桌面Linux发行版。由于该漏洞是一个逻辑漏洞，因此漏洞利用成功率极高。当前，此漏洞的细节及Exp已经公开。

0x00 背景介绍

近日，天融信阿尔法实验室监测到Linux Kernel主线修复了一个本地权限提升漏洞Dirty Frag。该漏洞已存在9年，影响几乎所有主流企业级和桌面Linux发行版。由于该漏洞是一个逻辑漏洞，因此漏洞利用成功率极高。当前，此漏洞的细节及Exp已经公开，暂未发现主流发行版发布针对该问题的补丁或更新，因此，请受影响用户立即根据修复建议对该漏洞进行防御。

0x01 漏洞描述

Linux内核是一个开源、宏内核但支持动态模块加载的操作系统核心，负责管理硬件资源并为上层软件提供运行环境。它通过进程调度、内存管理、虚拟文件系统、网络协议栈和设备驱动等关键子系统，实现对CPU、内存、磁盘及外设的抽象与调度，并提供稳定、安全和高效的接口供应用程序使用。凭借高可移植性、丰富的驱动支持和强大的社区协作，其已成为从嵌入式设备到超级计算机、从安卓系统到云服务器广泛采用的基础核心。

Dirty Frag是Linux Kernel网络子系统中的一种漏洞类别，其通过链接xfrm-ESP Page-Cache Write漏洞和RxRPC Page-Cache Write漏洞在大多数Linux发行版上获得root权限。Dirty Frag与Dirty Pipe和Copy Fail的形成原因具有高度的相似性，但具体细节不同。

这两个漏洞的共同之处在于，在零拷贝（zero-copy）发送路径中，当splice()函数将攻击者仅拥有读取权限的页面缓存页引用直接植入发送方skb的片段槽时，接收方内核代码会对该片段执行原地加密。结果，非特权用户仅拥有读取权限的文件（例如/etc/passwd或/usr/bin/su）的页面缓存会被修改，并且后续每次读取都会看到修改后的副本，从而实现提权。

请注意，无论algif_aead模块是否可用，Dirty Frag漏洞都可能被触发。换句话说，即使在应用了公开已知的Copy Fail缓解措施（algif_aead黑名单）的系统上，您的Linux系统仍然容易受到Dirty Frag漏洞的攻击。

漏洞复现（复现环境Ubuntu 22.04.4 LTS）:

0x02 漏洞编号

暂无

0x03 漏洞等级

高危

0x04 受影响版本

几乎影响所有主流企业级和桌面Linux发行版。

xfrm-ESP Page-Cache Write漏洞影响范围：

Linux Kernel主线Commit >= cac2661c53f3（2017-01-17）

RxRPC Page-Cache Write漏洞影响范围：

Linux Kernel主线Commit >= 2dc334f1a63a（2023-06-08）

已知受影响的发行版：

Ubuntu 22.04.4 LTS（6.8.0-40-generic）

Ubuntu 24.04.4 LTS（6.17.0-23-generic）

RHEL 10.1（6.12.0-124.49.1.el10_1.x86_64）

openSUSE Tumbleweed（7.0.2-1-default）

CentOS Stream 10（6.12.0-224.el10.x86_64）

AlmaLinux 10（6.12.0-124.52.3.el10_1.x86_64）

Fedora 44（6.19.14-300.fc44.x86_64）

0x05 修复建议

Linux Kernel官方暂未发布正式补丁，可通过以下命令删除存在漏洞的内核模块，进行临时缓解。

sh -c "printf 'install esp4 /bin/false\ninstall esp6 /bin/false\ninstall rxrpc /bin/false\n' > /etc/modprobe.d/dirtyfrag.conf; rmmod esp4 esp6 rxrpc 2>/dev/null; true"

0x06 声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Fri, 08 May 2026 12:37:00 +0800 【风险提示】天融信关于Java Ghost Bits 漏洞的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496705&idx=1&sn=f6b76bcbd3beb393983e7cb3b4c0eea4 近日，天融信阿尔法实验室监测到安全研究员披露了Java生态中的一种新型安全问题，通常被称为Ghost Bits（幽灵比特），其根源在于“字符视图”与“字节视图”不一致，可能引发部分安全防护产品绕过、路径穿越、文件上传绕过、CRLF 注入、反序列化绕过等风险。 天融信应急响应 2026-04-30 18:12 北京

近日，天融信阿尔法实验室监测到安全研究员披露了Java生态中的一种新型安全问题，通常被称为Ghost Bits（幽灵比特），其根源在于“字符视图”与“字节视图”不一致，可能引发部分安全防护产品绕过、路径穿越、文件上传绕过、CRLF 注入、反序列化绕过等风险。

0x00 背景介绍

近日，天融信阿尔法实验室监测到安全研究员披露了Java生态中的一种新型安全问题，通常被称为Ghost Bits（幽灵比特），其根源在于“字符视图”与“字节视图”不一致，可能引发部分安全防护产品绕过、路径穿越、文件上传绕过、CRLF 注入、反序列化绕过等风险。该问题不是单一 CVE，而是一类底层编码与解析逻辑缺陷，影响面较广，建议受影响用户尽快排查并修复。

0x01 漏洞描述

Java 是目前应用最广泛的编程语言之一，从 Web 服务器、企业应用到嵌入式系统都有其身影。Java 的类型系统中，char类型为 16 位 Unicode 代码单元，而byte类型仅为 8 位。当代码中发生char -> byte的强制类型转换、位运算掩码、OutputStream.write(int)、DataOutputStream.writeBytes(String) 等时，高 8 位会被静默丢弃，只保留低 8 位，被丢弃的高位数据即被称为 "Ghost Bits"。

Ghost Bits 风险的核心在于，上层安全检查看到的字符串语义，与底层最终执行的字节语义可能不一致。上层按字符语义做校验时看到的是安全字符串，而底层按字节语义执行时，低 8 位可能折叠成危险的 ASCII 字节，从而触发真实漏洞。经过身份认证的攻击者可通过精心构造的 Unicode 字符输入，绕过业务校验、路径检查等安全机制，实现文件上传绕过、路径穿越、任意文件读取、认证绕过、SMTP 注入、HTTP 请求走私、Header 注入等多种攻击。该风险已在 Tomcat、Spring Framework、Jetty、Fastjson、Jackson、Openfire、Jira、Confluence 等多个主流 Java 组件中被证实存在实际可利用的漏洞。

0x02 漏洞编号

暂无

0x03 漏洞等级

高危

0x04 受影响版本

所有存在以下高危代码写法的 Java 应用和组件：

1、(byte) ch - char 到 byte 的强制类型转换

2、ch & 0xff / ch & 255 / 0xff & ch - 位运算截断

3、baos.write(ch) - 直接将 char 写入字节流

4、DataOutputStream.writeBytes(String s) - 按字节写入字符串

5、OutputStream.write(int) - 直接写入 int 值的低 8 位

6、StringBufferInputStream.read() - 字符流到字节流转换

7、String.getBytes(int, int, byte[], int) - 过时的字节获取方法

8、RandomAccessFile.writeBytes() - 按字节写入

9、URLDecoder.decode() - URL 解码相关处理

已知受影响的 Java 组件：

Apache Tomcat、Spring Framework、Eclipse Jetty、Fastjson、Jackson、Openfire、Apache HttpClient、Angus Mail / Jakarta Mail、Jira、Confluence、GeoServer

0x05 修复建议

1、临时缓解措施

如果暂时无法完成代码修复和组件升级，可采取以下缓解措施：

（1）对用户输入进行严格的字符范围校验，拒绝包含高Unicode字符的关键输入字段（文件名、路径、邮箱地址、HTTP Header 等）。

（2）若非必要，避免在互联网上暴露存在风险的 Java 应用服务。

2、代码修复

（1）禁止隐式 char -> byte 截断：避免使用(byte) ch等强制类型转换写法，改用显式的字符编码转换，如StandardCharsets.UTF_8.encode()。

（2）统一校验与执行语义：先把输入还原成最终会被执行的字节语义，再进行安全校验，确保检查和执行在同一语义空间。

（3）输入规范化：在输入校验阶段前对输入进行统一的编码规范化处理。

（4）升级受影响组件：将受已知漏洞影响的 Java 组件按照官方安全公告升级至安全版本。

0x06 声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Thu, 30 Apr 2026 18:12:00 +0800 【风险提示】天融信关于Linux Kernel本地权限提升漏洞(CVE-2026-31431)的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496705&idx=2&sn=2f53fc8a4a3695c13f1ea7fc09bb1b9c 4月30日，天融信阿尔法实验室监测到Linux Kernel修复了一个本地权限提升漏洞（CVE-2026-31431），其被称为Copy Fail。该漏洞利用复杂度较低，且影响过去9年内大多数主流Linux发行版，对云服务器、容器宿主机、多租户环境等构成较高风险。 天融信应急响应 2026-04-30 18:12 北京

4月30日，天融信阿尔法实验室监测到Linux Kernel修复了一个本地权限提升漏洞（CVE-2026-31431），其被称为Copy Fail。该漏洞利用复杂度较低，且影响过去9年内大多数主流Linux发行版，对云服务器、容器宿主机、多租户环境等构成较高风险。

0x00 背景介绍

4月30日，天融信阿尔法实验室监测到Linux Kernel修复了一个本地权限提升漏洞（CVE-2026-31431），其被称为Copy Fail。该漏洞利用复杂度较低，且影响过去9年内大多数主流Linux发行版，对云服务器、容器宿主机、多租户环境等构成较高风险。此漏洞的PoC和细节已公开，由于此漏洞影响范围极广，建议受影响用户立即修复该漏洞。

0x01 漏洞描述

Linux内核是一个开源、宏内核但支持动态模块加载的操作系统核心，负责管理硬件资源并为上层软件提供运行环境。它通过进程调度、内存管理、虚拟文件系统、网络协议栈和设备驱动等关键子系统，实现对CPU、内存、磁盘及外设的抽象与调度，并提供稳定、安全和高效的接口供应用程序使用。凭借高可移植性、丰富的驱动支持和强大的社区协作，其已成为从嵌入式设备到超级计算机、从安卓系统到云服务器广泛采用的基础核心。

CVE-2026-31431是Linux Kernel加密子系统中的一个逻辑缺陷漏洞，可导致本地权限提升。经过身份认证的本地低权限攻击者可利用AF_ALG加密接口与splice()系统调用的组合，向任意可读文件的页缓存写入受控的4字节数据，从而篡改setuid程序，无需条件竞争即可直接获得root权限。

漏洞复现（复现环境Ubuntu 22.04.4 LTS）:

0x02 漏洞编号

CVE-2026-31431

0x03 漏洞等级

高危

0x04 受影响版本

72548b093ee3 <= Linux Kernel commit < a664bf3d603d

已知受影响的发行版：

Ubuntu 22.04 LTS

Ubuntu 24.04 LTS

Ubuntu 26.04 LTS

Amazon Linux 2023

Red Hat Enterprise Linux 10

Red Hat Enterprise Linux 9

Red Hat Enterprise Linux 8

SUSE 16

Kali Linux 2026.1

Debian 13

Linux Mint 22.3

Manjaro 26.0.4

0x05 修复建议

1、临时缓解措施

如果暂时无法升级，可禁用 algif_aead 内核模块：

echo "install algif_aead /bin/false" > /etc/modprobe.d/disable-algif-aead.conf

rmmod algif_aead 2>/dev/null || true

2、升级修复

官方已发布漏洞补丁及修复版本，请评估业务是否受影响后，升级至安全版本。

Linux Kernel 6.18: 升级至 6.18.22 或更高版本

https://git.kernel.org/stable/c/fafe0fa2995a0f7073c1c358d7d3145bcc9aedd8

Linux Kernel 6.19: 升级至 6.19.12 或更高版本

https://git.kernel.org/stable/c/ce42ee423e58dffa5ec03524054c9d8bfd4f6237

Linux Kernel 7.0: 升级至 7.0 (或应用相关补丁)

https://git.kernel.org/stable/c/a664bf3d603dc3bdcf9ae47cc21e0daec706d7a5

旧版本内核：请应用官方 Commit a664bf3d603d (Revert to operating out-of-place)。

针对 Ubuntu、Red Hat Enterprise Linux 等用户，发行版官方暂未全部发布安全更新，请及时关注官方安全公告：

Ubuntu 安全公告：

https://ubuntu.com/security/CVE-2026-31431

Red Hat 安全公告：

https://access.redhat.com/security/cve/cve-2026-31431

Debian 安全公告：

https://security-tracker.debian.org/tracker/CVE-2026-31431

0x06 声明

天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。

天融信

阿尔法实验室

长按二维码关注我们

跳转微信打开

]]> Thu, 30 Apr 2026 18:12:00 +0800 天融信：OpenClaw运行机制与安全威胁研究报告（附下载） https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496695&idx=1&sn=1b64600108d07907afda1cdcdd5384e1 OpenClaw既是AI Agent生态繁荣的典型代表，也是当前智能体安全风险的集中样本。 阿尔法实验室 2026-03-13 19:15 北京

OpenClaw既是AI Agent生态繁荣的典型代表，也是当前智能体安全风险的集中样本。

OpenClaw是2025年末开源、2026年初在GitHub上爆炸式走红的本地优先（Local‑First）AI智能体（Agent）与自动化平台，由开发者Peter Steinberger发起，短短数月即累计二十多万Star，成为GitHub史上增长最快的开源项目之一。它的核心理念是让大模型从“对话式顾问”变成“真正能在本地动手干活的数字员工”，通过深度控制操作系统、调用外部工具和在线服务，自动执行复杂任务。

OpenClaw因图标是红色龙虾，被广泛昵称为“龙虾”或“小龙虾”，同时受到产业界和广大用户广泛关注并积极实践应用，引发关于“养龙虾是否安全”的广泛讨论。工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）已发布专门预警，提示OpenClaw在不安全部署方式下存在较高安全风险，容易引发网络攻击和信息泄露。

在此背景下，天融信正式发布《OpenClaw运行机制与安全威胁研究》报告，从体系结构与运行机理出发，系统梳理OpenClaw的工作流程、Skill机制与大模型交互特点，并对其已披露漏洞和系统性安全威胁进行分析，为后续防护与治理提供技术依据。

关注“天融信”

私信回复“OpenClaw研究报告”

即可获取完整报告

OpenClaw的运行流程

整体来看，OpenClaw以“本地常驻、模块化扩展、闭环执行”为核心特征，从消息接入、决策规划、工具执行到记忆沉淀形成完整链路。各模块分工明确、协同运转，使其区别于传统对话式AI，成为能够长期运行、自主完成复杂任务的通用Agent基础设施。

Skill机制与社区生态：OpenClaw将Skills视为扩展Agent能力的核心机制，与其说Skill是一个简单的“提示词模板”，不如说它是“带结构化元数据、能驱动工具和脚本的任务模块”。

默认“完全掌控电脑”的权限模型：OpenClaw的一大特点是“真正能动手干活”，这在技术上意味着，如果按照常见教程全开工具而不做隔离或限制，就能几乎实现完整系统访问——可以读写文件系统、执行终端命令、控制浏览器、访问邮件和日历、调用SSH或云端API等。

本地模型与云端模型支持：OpenClaw的模型编排层支持接入多种云端大模型（如OpenAI GPT系列、Anthropic Claude、Google Gemini等）以及本地部署的开源模型（如通过Ollama或本地推理服务运行的Llama系列），用户可以在配置中选择首选模型和备选模型，并为不同任务设置不同的模型策略。

OpenClaw面临的主要安全威胁

依托架构特性与生态现状，OpenClaw面临多层级、多维度的安全风险，覆盖技能供应链、部署配置、框架漏洞、模型交互等关键环节。这些风险相互叠加，构成了当前智能体落地中最典型的安全挑战。

供应链安全：OpenClaw的能力高度依赖外部Skill与远程MCP工具，这使其天然暴露在供应链攻击面上。如果Skill或MCP工具被植入恶意代码或恶意提示词，Agent在毫无察觉的情况下就可能执行攻击者预置的行为。

OpenClaw自身安全配置与运维风险：除供应链问题外，OpenClaw自身的配置习惯和不安全部署方式也是当前攻击的重灾区。从下载不明来源的安装脚本，到将管理端口直接暴露在公网，加上Agent的特权运行、明文凭证存储等等，这些风险为攻击者敞开了大门。此外，由于Agent与大模型交互的黑盒特性，用户难以察觉到数据如何被调用和泄露。

大量已被披露的框架漏洞：在2026年初集中暴露出一组高危漏洞，其中以CVE‑2026‑25253、CVE‑2026‑24763和CVE-2026-25593为代表，叠加不安全默认配置，构成了极具破坏力的攻击链。

OpenClaw与大模型交互相关的安全威胁：由于OpenClaw的“决策大脑”依赖大语言模型，其安全性也不可避免地受到LLM相关攻击面的影响，包括：提示词注入、记忆投毒、模型幻觉与越权执行等。

OpenClaw安全上岗指南

OpenClaw既是AI Agent生态繁荣的典型代表，也是当前智能体安全风险的集中样本。其以本地优先、自托管、多渠道集成和Skill插件生态为特征，让普通用户和开发者第一次可以较低门槛地拥有“真正能动手”的个人智能体，这也是其在全球范围内迅速走红的原因之一。然而，正是这种深度系统权限与高度可扩展性，使其在多个维度上都呈现出前所未有的攻击面。

近日，针对“龙虾”典型应用场景下的安全风险，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）组织智能体提供商、漏洞收集平台运营单位、网络安全企业等，研究提出“六要六不要”建议。面对全新安全挑战，天融信从平台加固到使用规范，从模型与数据防护到常态化风险体检，提供五层安全能力，层层递进、环环相扣，全面覆盖OpenClaw全场景风险，帮助企业的“小龙虾”安全上岗。

点击图片查看更多详情

在可预见的未来，随着Skill数量和部署规模的继续增长，OpenClaw及类似智能体平台将长期处在“能力跃升与安全焦虑并存”的状态。只有通过规范化的权限管理、严格的技能生态治理、持续的漏洞修复与安全审计，以及对大模型交互风险的系统性防范，才能在充分释放OpenClaw生产力潜能的同时，将由此带来的安全风险控制在可接受范围内。

关注“天融信”

私信回复“OpenClaw研究报告”

即可获取完整报告

跳转微信打开

]]> Fri, 13 Mar 2026 19:15:00 +0800 【风险提示】天融信关于Vite任意文件读取漏洞(CVE-2025-30208)的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496690&idx=1&sn=6010f3a0a91bb3e0546c20a0e004fdd1 3月26日,天融信阿尔法实验室监测到Vite 官方披露了一个任意文件读取漏洞(CVE-2025-30208)，目前该漏洞POC已公开，建议受影响用户尽快升级。 天融信应急响应 2025-03-26 23:21 北京

3月26日,天融信阿尔法实验室监测到Vite 官方披露了一个任意文件读取漏洞(CVE-2025-30208)，目前该漏洞POC已公开，建议受影响用户尽快升级。

0x00 背景介绍


3月26日，天融信阿尔法实验室监测到Vite 官方披露了一个任意文件读取漏洞(CVE-2025-30208)，目前该漏洞POC已公开，建议受影响用户尽快升级。

0x01 漏洞描述


Vite 是一个现代前端构建工具，它旨在提供快速的开发体验，尤其适合现代 JavaScript 框架（如 Vue）,凭借其快速的启动时间和流畅的开发体验，成为越来越多开发者的首选。

该漏洞因为`@fs` 拒绝访问 Vite 服务允许列表之外的文件。在 URL 中添加 `?raw??` 或 `?import&raw??` 可绕过此限制并返回文件内容（如果存在）。之所以存在此绕过，是因为尾随分隔符（例如 `?`）在多个地方被删除，但在查询字符串正则表达式中没有考虑到这一点。导致攻击者可以绕过保护机制，非法访问项目根目录外的敏感文件。

0x02 漏洞编号

CVE-2025-30208
0x03 漏洞等级
高危
0x04 受影响版本

6.2.0 <= Vite <= 6.2.2
6.1.0 <= Vite <= 6.1.1
6.0.0 <= Vite <= 6.0.11
5.0.0 <= Vite <= 5.4.14
Vite <= 4.5.9
0x05 修复建议
目前官方已发布安全更新，建议用户尽快升级至最新版本。
下载地址：
https://github.com/vitejs/vite/releases

0x06 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 26 Mar 2025 23:21:00 +0800 天融信发布《大模型组件漏洞与应用威胁安全研究报告》​ https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496682&idx=1&sn=e4643091842bb9fe7d576a85fe1e129a 点击文末“阅读原文”，即可获取完整报告！ 阿尔法实验室 2025-03-17 13:39 北京

点击文末“阅读原文”，即可获取完整报告！

近年来，大模型呈现出蓬勃发展的态势，为人工智能行业的技术进步源源不断地注入创新活力。然而，在大模型开发者致力于提升模型效果、拓展模型能力的同时，大模型的安全性问题也不容忽视，亟待给予高度关注。

随着大模型架构复杂性持续提升，其面临的攻击面不断增多。究其根本，导致缺陷与漏洞频发的主要原因，或是因为AI技术的快速发展与部分开发者“功能优先、安全滞后”的观念。



其一，AI模型作为高度复杂的代码系统，其庞大的参数规模和交互接口为潜在攻击者提供了丰富的攻击面。


其二，在激烈的市场竞争压力下，许多开发团队将研发速度置于安全考量之上，直接导致安全防护机制在设计初期的系统性缺失。

研究表明，当研发工作的首要目标是迭代速度时，安全评估往往被压缩至产品发布前的最后阶段，甚至完全被忽视。这种开发模式虽然能够在短期内实现技术突破，却使得AI系统暴露在诸多潜在威胁之下，为后续的安全事故埋下隐患。这些风险不仅威胁到模型的可靠性，还可能对数据隐私、系统安全以及社会伦理产生深远影响。


《大模型组件漏洞与应用威胁安全研究报告》

全流程解析大模型潜在漏洞及其影响


基于以上背景，天融信第一时间组织安全团队针对大模型漏洞进行深入研究，并发布《大模型组件漏洞与应用威胁安全研究报告（2025）》（以下简称《报告》），全流程解析大模型潜在漏洞及其影响，并提出相应的安全建议。


点击文末“阅读原文”即可获取完整报告


《报告》在大模型开发、部署阶段，重点对模型推理优化部署、模型训练微调、模型应用框架、其他大模型相关组件工具进行漏洞分析；在大模型使用阶段，主要针对大模型的语义操控突破安全限制生成违规内容、配置缺陷泄露敏感信息、Prompt注入利用输入劫持模型行为执行恶意指令等方面进行漏洞研究。


TOPSEC


《报告》认为大模型安全问题体现在多个层面。其在部署阶段的安全漏洞与传统网络安全的通用漏洞高度相似。但在使用阶段，则存在其特有的内容安全问题，这些漏洞可能源于模型本身的特性。例如生成内容的不可控性、对输入指令的过度依赖，以及多模态交互中的潜在风险。



此外，AI模型的部署环境复杂多样，系统级的安全漏洞可能带来新的攻击向量。例如，AI系统的基础设施或与外部数据源的连接可能成为攻击者的突破口。



对于大模型所涉及组件，需从整体上重视安全建设，构建多层次、多维度的防御体系。有研究资料表明，在学术界中当前大模型攻防研究约60%集中在攻击方法上，而防御相关研究仅占40%，更多是“被动应对”而非“主动防御”。


对于大模型使用安全，需要强调模型开源、提供专用安全API以及建立开源安全平台，以构建更安全可信的人工智能生态系统。如清华团队最近推出“安全增强版 DeepSeek”，开源不仅能够促进技术透明性，还能吸引更多研究者参与防御技术的开发与优化。


对于个人或企业部署大模型，提高警惕性和持续监控都是实现安全有效防护的关键环节。首先，部署时应严格审查组件和工具的来源，避免使用不可信的资源，以降低遭受安全攻击的风险。其次，持续关注组件安全情报，及时修复已知漏洞，避免成为Nday漏洞攻击的目标。


点击文末“阅读原文”

即可获取完整报告

↓↓↓


阅读原文

跳转微信打开

]]> Mon, 17 Mar 2025 13:39:00 +0800 【风险提示】天融信关于Apache Tomcat 远程代码执行漏洞(CVE-2025-24813)的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496672&idx=1&sn=61480ecdb85f33408d2809e9d5d45378 3月11日，天融信阿尔法实验室监测到Tomcat官方发布了一个安全公告，修复了一个特定条件的远程代码执行漏洞（CVE-2025-24813）。建议受影响用户尽快升级。 天融信应急响应 2025-03-11 20:04 北京

3月11日，天融信阿尔法实验室监测到Tomcat官方发布了一个安全公告，修复了一个特定条件的远程代码执行漏洞（CVE-2025-24813）。建议受影响用户尽快升级。

0x00 背景介绍


3月11日，天融信阿尔法实验室监测到Tomcat官方发布了一个安全公告，修复了一个特定条件的远程代码执行漏洞（CVE-2025-24813），建议受影响用户尽快升级。

0x01 漏洞描述


当应用程序启用servlet写入功能（默认情况下禁用）、Tomcat使用基于文件session机制和存储位置（默认路径）、 服务器启用了partial PUT（默认启用）、依赖库存在反序列化利用链时，未授权攻击者可能利用该漏洞造成远程代码执行。

0x02 漏洞编号

CVE-2025-24813
0x03 漏洞等级

高危
0x04 受影响版本

11.0.0-M1 <= Apache Tomcat <= 11.0.2
10.1.0-M1 <= Apache Tomcat <= 10.1.34
9.0.0.M1 <= Apache Tomcat <= 9.0.98
0x05 修复建议

目前官方已发布安全更新，建议用户尽快升级至最新版本。
下载地址：
https://tomcat.apache.org/security-11.html
https://tomcat.apache.org/security-10.html
https://tomcat.apache.org/security-9.html

0x06 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Tue, 11 Mar 2025 20:04:00 +0800 【风险提示】天融信关于微软2024年12月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496664&idx=1&sn=61b0c3aaa8d69a3fb1056ffb3f3d3ed4 2024年12月11日，天融信阿尔法实验室监测到微软官方发布了12月安全更新。此次更新共修复72个漏洞，其中16个严重漏洞、55个重要漏洞、1个中危漏洞。 原创 天融信应急响应 2024-12-11 14:09 北京

2024年12月11日，天融信阿尔法实验室监测到微软官方发布了12月安全更新。此次更新共修复72个漏洞，其中16个严重漏洞、55个重要漏洞、1个中危漏洞。

0x00 背景介绍

2024年12月11日，天融信阿尔法实验室监测到微软官方发布了12月安全更新。此次更新共修复72个漏洞，其中16个严重漏洞(Critical)、55个重要漏洞(Important)、1个中危漏洞(Moderate)。其中权限提升漏洞27个、远程代码执行漏洞31个、信息泄露漏洞7个、拒绝服务漏洞5个、欺骗漏洞2个。

本次微软安全更新涉及组件包括：Windows Common Log File System Driver、Microsoft Office SharePoint、Windows Resilient File System (ReFS)、Windows Message Queuing、Windows Cloud Files Mini Filter Driver、Windows LDAP - Lightweight Directory Access Protocol、Windows Routing and Remote Access Service (RRAS)、Windows Remote Desktop、Windows Wireless Wide Area Network Service等多个产品和组件。
微软本次修复中，CVE-2024-49138被在野利用。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。

  • 在野利用和公开披露漏洞

  • CVE-2024-49138：Windows通用日志文件系统驱动本地权限提升漏洞
此漏洞已发现在野利用。此漏洞是Windows通用日志文件系统驱动中的堆溢出漏洞（CWE-122），CVSS3.1评分为7.8/6.8。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-49070Microsoft SharePoint远程代码执行漏洞7.4/6.4
CVE-2024-49088Windows通用日志文件系统驱动本地权限提升漏洞7.8/6.8
CVE-2024-49090Windows通用日志文件系统驱动本地权限提升漏洞7.8/6.8
CVE-2024-49093Windows Resilient File System(ReFS)本地权限提升漏洞8.8/7.7
CVE-2024-49122Microsoft消息队列(MSMQ)远程代码执行漏洞8.1/7.1
CVE-2024-49114Windows Cloud Files微过滤器驱动本地权限提升漏洞7.8/6.8

  • CVE-2024-49070：Microsoft SharePoint远程代码执行漏洞

此漏洞是Microsoft SharePoint中的不受信任数据的反序列化漏洞（CWE-502）。未经身份认证的本地攻击者可以利用此漏洞在目标环境上下文中执行任意代码。

  • CVE-2024-49088、CVE-2024-49090：Windows通用日志文件系统驱动本地权限提升漏洞

CVE-2024-49088是Windows通用日志文件系统驱动中的缓冲区过度读取漏洞（CWE-126），CVE-2024-49090是该驱动中的不可信指针解引用漏洞（CWE-822）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-49093：Windows Resilient File System(ReFS)本地权限提升漏洞
此漏洞是Windows Resilient File System(ReFS)中的数字类型间的错误转换漏洞（CWE-681）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-49122：Microsoft消息队列(MSMQ)远程代码执行漏洞

此漏洞是Microsoft消息队列(MSMQ)中的释放后重用漏洞（CWE-416）。未经身份认证的远程攻击者通过向MSMQ服务器发送特制的恶意MSMQ数据包来利用此漏洞，这可能导致在服务器端执行远程代码。成功利用此漏洞需要攻击者赢得竞争条件。

  • CVE-2024-49114：Windows Cloud Files微过滤器驱动本地权限提升漏洞

此漏洞是Windows Cloud Files微过滤器驱动中的缺少同步漏洞（CWE-820）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-49112Windows轻型目录访问协议(LDAP)远程代码执行漏洞9.8/8.5
CVE-2024-49085Windows路由和远程访问服务(RRAS)远程代码执行漏洞8.8/7.7
CVE-2024-49106Windows远程桌面服务远程代码执行漏洞8.1/7.1

  • CVE-2024-49112：Windows轻型目录访问协议(LDAP)远程代码执行漏洞

此漏洞是Windows轻型目录访问协议(LDAP)中的整数溢出或回绕漏洞（CWE-190）。未经身份认证的远程攻击者通过一组特制的LDAP调用来获取代码执行权限，从而在LDAP服务的上下文中执行任意代码。本月更新中还有多个此组件的漏洞，欲知详情请查看微软的安全公告。

  • CVE-2024-49085：Windows路由和远程访问服务(RRAS)远程代码执行漏洞

此漏洞是Windows路由和远程访问服务(RRAS)中的整数溢出或回绕漏洞（CWE-190）和堆溢出漏洞（CWE-122）。未经身份认证的远程攻击者通过诱骗用户向恶意服务器发送请求来利用此漏洞。这可能导致服务器返回恶意数据，从而导致在用户系统上执行任意代码。本月更新中还有多个此组件的漏洞，欲知详情请查看微软的安全公告。
  • CVE-2024-49106：Windows远程桌面服务远程代码执行漏洞
此漏洞是Windows远程桌面服务中的敏感数据存储在未正确锁定的内存中漏洞（CWE-591）和释放后重用漏洞（CWE-416）。未经身份认证的远程攻击者通过向具有远程桌面网关角色的系统发送特制HTTPS请求来利用此漏洞，这会触发远程桌面服务中的条件竞争漏洞，并导致释放后重用漏洞，然后利用此漏洞执行任意代码，从而成功利用此漏洞。本月更新中还有多个此组件的漏洞，欲知详情请查看微软的安全公告。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的12月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Dec

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 11 Dec 2024 14:09:00 +0800 【风险提示】天融信关于微软2024年11月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496662&idx=1&sn=89c2e0f34e55b91c488ba8ef1c710f04 2024年11月13日，天融信阿尔法实验室监测到微软官方发布了11月安全更新。此次更新共修复89个漏洞，其中4个严重漏洞、84个重要漏洞、1个中危漏洞。 原创 天融信应急响应 2024-11-13 16:02 北京

2024年11月13日，天融信阿尔法实验室监测到微软官方发布了11月安全更新。此次更新共修复89个漏洞，其中4个严重漏洞、84个重要漏洞、1个中危漏洞。

0x00 背景介绍

2024年11月13日，天融信阿尔法实验室监测到微软官方发布了11月安全更新。此次更新共修复89个漏洞，其中4个严重漏洞(Critical)、84个重要漏洞(Important)、1个中危漏洞(Moderate)。

本次微软安全更新涉及组件包括：Windows Package Library Manager、Microsoft Virtual Hard Drive、Windows SMBv3 Client/Server、Microsoft Windows DNS、Windows NTLM、Windows Telephony Service、Windows VMSwitch、Windows Kernel、Windows Secure Kernel Mode、Windows DWM Core Library、Windows SMB、Windows Active Directory Certificate Services、Microsoft Office Excel、Windows Win32 Kernel Subsystem等多个产品和组件。

微软本次修复中，CVE-2024-43451、CVE-2024-49039被在野利用，通告中声明CVE-2024-43623、CVE-2024-43629、CVE-2024-43630、CVE-2024-43636、CVE-2024-49019、CVE-2024-49033、CVE-2024-49040更容易被利用。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。

  • 在野利用和公开披露漏洞

CVE漏洞名称CVSS3.1
CVE-2024-43451NTLM 哈希泄露欺骗漏洞6.5/6.0
CVE-2024-49039Windows 任务计划程序特权提升漏洞8.8/8.2
CVE-2024-49019Active Directory 证书服务特权提升漏洞7.8/6.8
CVE-2024-49040Microsoft Exchange 服务器欺骗漏洞7.5/6.7

  • CVE-2024-43451：NTLM 哈希泄露欺骗漏洞

此漏洞已发现在野利用。此漏洞会向攻击者泄露用户的 NTLMv2 哈希，攻击者可以使用它来验证用户身份，用户与恶意文件的最低限度的交互，例如选择（单击）、检查（右键单击）或执行除打开或执行之外的操作，都可能触发此漏洞。
  • CVE-2024-49039：Windows 任务计划程序特权提升漏洞
此漏洞已发现在野利用。经过身份验证的攻击者需要在目标系统上运行经特殊设计的应用程序，利用此漏洞将其权限提升到中等完整性级别，在这种情况下，可以从低权限的AppContainer发起成功的攻击，攻击者可以提升其权限，以比 AppContainer 执行环境更高的完整性级别执行代码或访问资源。
  • CVE-2024-49019：Active Directory 证书服务特权提升漏洞
此漏洞已被公开披露。检查您是否发布了使用版本1证书模板创建的任何证书，其中主体名称的来源设置为“在请求中提供”，并且注册权限被授予更广泛的帐户集，例如域用户或域计算机，一个示例是内置Web 服务器模板，但由于其注册权限受限，默认情况下它不易受到攻击，成功利用此漏洞的攻击者可以获得域管理员权限。
  • CVE-2024-49040：Microsoft Exchange 服务器欺骗漏洞
此漏洞已被公开披露且利用可能性较大。该漏洞允许远程攻击者执行欺骗攻击，该漏洞的存在是由于对用户提供的数据进行了不正确的处理，远程攻击者可以欺骗 Microsoft Exchange 客户端界面的页面内容。
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-43623Windows NT 操作系统内核特权提升漏洞7.8/6.8
CVE-2024-43629Windows DWM 核心库特权提升漏洞7.8/6.8
CVE-2024-43630Windows 内核特权提升漏洞7.8/6.8
CVE-2024-43636Win32k 特权提升漏洞7.8/6.8
CVE-2024-49033Microsoft Word 安全功能绕过漏洞7.5/6.5

  • CVE-2024-43623：Windows NT 操作系统内核特权提升漏洞

此漏洞是Windows NT组件中的整数溢出漏洞（CWE-190），经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞，成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-43629：Windows DWM 核心库特权提升漏洞

此漏洞是Windows DWM 核心库中不受信任的指针漏洞（CWE-822），经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞，成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-43630：Windows 内核特权提升漏洞
此漏洞是Windows 内核中的堆溢出漏洞（CWE-121），经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞，成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-43636：Win32k 特权提升漏洞

此漏洞是Win32k中不受信任的指针漏洞（CWE-822），经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞，成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-49033：Microsoft Word 安全功能绕过漏洞

此漏洞可能允许攻击者绕过 Office Protected View 的特定功能，利用此漏洞需要用户打开特制的 Word 文件，成功利用此漏洞需要攻击者收集特定于目标组件环境的信息。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-43602Azure CycleCloud 远程代码执行漏洞9.9/8.6
CVE-2024-43639Windows Kerberos 远程代码执行漏洞9.8/8.5
CVE-2024-43498.NET 和 Visual Studio 远程代码执行漏洞9.8/8.5

  • CVE-2024-43602：Azure CycleCloud 远程代码执行漏洞

此漏洞允许具有基本用户权限的攻击者可以发送特制的请求来修改 Azure CycleCloud 群集的配置，以获得 Root 级别权限，从而使他们能够在当前实例中的任何 Azure CycleCloud 群集上执行命令，并且在某些情况下破坏管理员凭据。

  • CVE-2024-43639：Windows Kerberos 远程代码执行漏洞

此漏洞允许未经身份验证的攻击者可以使用特制的应用程序利用 Windows Kerberos 中的加密协议漏洞对目标执行远程代码执行。
  • CVE-2024-43498：.NET 和 Visual Studio 远程代码执行漏洞
未经身份验证的远程攻击者可以通过向存在漏洞的 .NET Web 应用程序发送特制的请求或将特制的文件加载到存在漏洞的桌面应用程序中来利用此漏洞。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的11月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Nov

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 13 Nov 2024 16:02:00 +0800 【风险提示】天融信关于微软2024年10月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496660&idx=1&sn=2df0f0b44caaa7409835aca42df5551c 2024年10月09日，天融信阿尔法实验室监测到微软官方发布了10月安全更新。此次更新共修复117个漏洞，其中3个严重漏洞、112个重要漏洞、2个中危漏洞。 原创 天融信应急响应 2024-10-09 14:43 北京

2024年10月09日，天融信阿尔法实验室监测到微软官方发布了10月安全更新。此次更新共修复117个漏洞，其中3个严重漏洞、112个重要漏洞、2个中危漏洞。

0x00 背景介绍

2024年10月09日，天融信阿尔法实验室监测到微软官方发布了10月安全更新。此次更新共修复117个漏洞，其中3个严重漏洞(Critical)、112个重要漏洞(Important)、2个中危漏洞(Moderate)。其中权限提升漏洞28个、远程代码执行漏洞42个、信息泄露漏洞6个、拒绝服务漏洞26个、欺骗漏洞7个、安全功能绕过漏洞7个、篡改漏洞1个。

本次微软安全更新涉及组件包括：Microsoft Management Console、Windows MSHTML Platform、Windows Hyper-V、Winlogon、Windows Kernel、Microsoft Graphics Component、Windows Storage Port Driver、OpenSSH for Windows、Microsoft Office、Remote Desktop Client、Windows Remote Desktop Services、Windows Routing and Remote Access Service (RRAS)、Windows Mobile Broadband等多个产品和组件。

微软本次修复中，CVE-2024-43572、CVE-2024-43573被在野利用，且CVE-2024-20659、CVE-2024-43583被公开披露。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。

  • 在野利用和公开披露漏洞

CVE漏洞名称CVSS3.1
CVE-2024-43572Microsoft Management Console远程代码执行漏洞7.8/7.2
CVE-2024-43573Windows MSHTML平台欺骗漏洞6.5/6.0
CVE-2024-20659Windows Hyper-V安全功能绕过漏洞7.1/6.6
CVE-2024-43583Winlogon本地权限提升漏洞7.8/6.8

  • CVE-2024-43572：Microsoft Management Console远程代码执行漏洞

此漏洞已发现在野利用。此漏洞是Microsoft Management Console中的对消息或数据结构的处理不当漏洞（CWE-707）。未经身份认证的远程攻击者说服受害者下载特制的Microsoft保存的控制台(MSC)文件并打开它来利用此漏洞。成功利用此漏洞的攻击者可以在目标系统上执行任意代码。
  • CVE-2024-43573：Windows MSHTML平台欺骗漏洞
此漏洞已发现在野利用。此漏洞是Windows MSHTML平台中的XSS漏洞（CWE-79）。未经身份认证的远程攻击者说服受害者访问特制的链接来利用此漏洞。成功利用此漏洞的攻击者可以在用户浏览器中执行任意HTML和脚本代码。
  • CVE-2024-20659：Windows Hyper-V安全功能绕过漏洞
此漏洞已被公开披露。此漏洞是Windows Hyper-V中的不正确输入验证漏洞（CWE-20）。未经身份认证的局域网攻击者通过向目标系统发送特制的数据包来利用此漏洞。成功利用此漏洞的攻击者可以绕过UEFI，这可能导致虚拟机管理程序和安全内核受到损坏。攻击者要成功利用此漏洞，需要用户重新启动其机器。
  • CVE-2024-43583：Winlogon本地权限提升漏洞
此漏洞已被公开披露且利用可能性较大。此漏洞是Windows Winlogon组件中的以不必要的权限执行漏洞（CWE-250）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-43502Windows Kernel本地权限提升漏洞7.1/6.2
CVE-2024-43509Windows图形组件本地权限提升漏洞7.8/6.8
CVE-2024-43556Windows图形组件本地权限提升漏洞7.8/6.8
CVE-2024-43560Windows Storage Port驱动本地权限提升漏洞7.8/6.8
CVE-2024-43581Windows OpenSSH远程代码执行漏洞7.1/6.2
CVE-2024-43615Windows OpenSSH远程代码执行漏洞7.1/6.2
CVE-2024-43609Microsoft Office欺骗漏洞6.5/5.7

  • CVE-2024-43502：Windows Kernel本地权限提升漏洞

此漏洞是Windows Kernel中的使用未初始化资源漏洞（CWE-908）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。此漏洞允许攻击者泄露内核信息或使服务不可用，但不允许攻击者修改任何数据。

  • CVE-2024-43509、CVE-2024-43556：Windows图形组件本地权限提升漏洞

这些漏洞都是Windows图形组件中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-43560：Windows Storage Port驱动本地权限提升漏洞
此漏洞是Windows Storage Port驱动中的堆溢出漏洞（CWE-122）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-43581、CVE-2024-43615：Windows OpenSSH远程代码执行漏洞

这些漏洞都是Windows OpenSSH中的文件名或路径的外部控制漏洞（CWE-73）。成功利用这些漏洞需要攻击者能够访问目标文件运行的位置，然后植入一个特定文件，用于漏洞利用；且需要诱导受害者执行特定的文件管理操作来触发漏洞。

  • CVE-2024-43609：Microsoft Office欺骗漏洞

此漏洞是Microsoft Office中的将敏感信息暴露给未经授权的行为者漏洞（CWE-200）。未经授权的远程攻击者将一个特制文件托管在网站或服务器上，并诱导受害者单击网站链接打开该特制文件来利用此漏洞。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-43468Microsoft Configuration Manager远程代码执行漏洞9.8/8.5
CVE-2024-38124Windows Netlogon权限提升漏洞9.0/7.8
CVE-2024-43533Remote Desktop Client远程代码执行漏洞8.8/7.7
CVE-2024-43607Windows路由和远程访问服务(RRAS)远程代码执行漏洞8.8/7.7

  • CVE-2024-43468：Microsoft Configuration Manager远程代码执行漏洞

此漏洞是Microsoft Configuration Manager中的SQL注入漏洞（CWE-89）。未经身份认证的远程攻击者通过向目标环境发送特制的请求来利用此漏洞，这些请求以不安全的方式处理，从而使攻击者能够在服务器或底层数据库上执行命令。

  • CVE-2024-38124：Windows Netlogon权限提升漏洞

此漏洞是Windows Netlogon中的不正确身份认证漏洞（CWE-287）。经过身份认证的局域网攻击者需要预测新域控制器的名称，并重命名其计算机以匹配该名称；然后，他们将建立一个安全通道并保持其活动状态，同时将计算机重命名回其原始名称。一旦新的域控制器被提升，攻击者就可以使用安全通道冒充域控制器并可能危及整个域。成功利用此漏洞的攻击者可以获得域管理员权限。
  • CVE-2024-43533：Remote Desktop Client远程代码执行漏洞
此漏洞是Remote Desktop Client中的释放后重用UAF漏洞（CWE-416）。受害者使用存在漏洞的RDP客户端连接到恶意服务器时，控制远程桌面服务器的攻击者可以在RDP客户端计算机上触发远程代码执行。
  • CVE-2024-43607：Windows路由和远程访问服务(RRAS)远程代码执行漏洞
此漏洞是Windows路由和远程访问服务(RRAS)中的堆溢出漏洞（CWE-122）。未经身份认证的远程攻击者可以向路由和远程访问服务(RRAS)服务器发送特制的协议消息，这可能导致在RAS服务器上的执行任意代码。利用此漏洞需要客户端上的管理员用户连接到恶意服务器，这可能允许攻击者在客户端上执行代码。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的10月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Oct

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 09 Oct 2024 14:43:00 +0800 【风险提示】天融信关于微软2024年9月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496658&idx=1&sn=02005282a824b73cb47aac5119d935e7 2024年9月11日，天融信阿尔法实验室监测到微软官方发布了9月安全更新。此次更新共修复79个漏洞，其中7个严重漏洞、71个重要漏洞、1个中危漏洞。 原创 天融信应急响应 2024-09-11 15:57 北京

2024年9月11日，天融信阿尔法实验室监测到微软官方发布了9月安全更新。此次更新共修复79个漏洞，其中7个严重漏洞、71个重要漏洞、1个中危漏洞。

0x00 背景介绍

2024年9月11日，天融信阿尔法实验室监测到微软官方发布了9月安全更新。此次更新共修复79个漏洞，其中7个严重漏洞(Critical)、71个重要漏洞(Important)、1个中危漏洞(Moderate)。其中权限提升漏洞30个、远程代码执行漏洞23个、信息泄露漏洞11个、拒绝服务漏洞8个、欺骗漏洞2个、安全功能绕过漏洞4个、XSS漏洞1个。

本次微软安全更新涉及组件包括：Windows Installer、Windows Mark of the Web (MOTW)、Microsoft Office Publisher、Windows Update、Microsoft Office SharePoint、Microsoft Streaming Service、Windows Win32K、Microsoft Graphics Component、Windows Setup and Deployment、Windows MSHTML Platform、Azure Stack、SQL Server、Windows TCP/IP等多个产品和组件。
微软本次修复中，CVE-2024-38014、CVE-2024-38217、CVE-2024-38226、CVE-2024-43491被在野利用，且CVE-2024-38217被公开披露。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。

  • 在野利用和公开披露漏洞

CVE漏洞名称CVSS3.1
CVE-2024-38014Windows Installer本地权限提升漏洞7.8/7.2
CVE-2024-38217Windows网络标记(MOTW)安全功能绕过漏洞5.4/5.0
CVE-2024-38226Microsoft Publisher安全功能绕过漏洞7.3/6.8
CVE-2024-43491Windows Update远程代码执行漏洞9.8/9.1

  • CVE-2024-38014：Windows Installer本地权限提升漏洞

该漏洞已发现在野利用。此漏洞是Windows Installer中的权限管理不当漏洞（CWE-269）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38217：Windows网络标记(MOTW)安全功能绕过漏洞
该漏洞已发现在野利用，且被公开披露。此漏洞是Windows网络标记(MOTW)安全功能中的保护机制失效漏洞（CWE-693）。未经身份认证的远程攻击者通过在其控制的服务器上托管一个文件，然后诱使目标用户下载并打开该文件来利用此漏洞。成功利用此漏洞能够绕过Windows网络标记(MOTW)安全功能。
  • CVE-2024-38226：Microsoft Publisher安全功能绕过漏洞
该漏洞已发现在野利用。此漏洞是Microsoft Publisher中的保护机制失效漏洞（CWE-693）。经过身份认证的攻击者可以通过社会工程说服受害者从网站下载并打开特制文件来利用此漏洞。成功利用此漏洞的攻击者可以绕过用于阻止不受信任或恶意文件的Office宏策略。
  • CVE-2024-43491：Windows Update远程代码执行漏洞
该漏洞已发现在野利用。此漏洞是Windows Update中的释放后重用UAF漏洞（CWE-416）。未经身份认证的远程攻击者通过向目标系统发送特制的数据包来利用此漏洞。成功利用此漏洞可使目标系统的安全补丁回滚到之前的版本，从而重新引入已修复的漏洞。
只有启用了Windows 10 1507中一些可选组件的系统会受到此漏洞的影响，具体影响组件请查看以下链接。
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2024-43491
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-38018Microsoft SharePoint Server远程代码执行漏洞8.8/7.7
CVE-2024-38227Microsoft SharePoint Server远程代码执行漏洞7.2/6.3
CVE-2024-38228Microsoft SharePoint Server远程代码执行漏洞7.2/6.3
CVE-2024-43464Microsoft SharePoint Server远程代码执行漏洞7.2/6.3
CVE-2024-38237Kernel Streaming WOW Thunk服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38238Kernel Streaming服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38241Kernel Streaming服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38242Kernel Streaming服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38243Kernel Streaming服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38244Kernel Streaming服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38245Kernel Streaming服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38246Windows Win32k本地权限提升漏洞7.0/6.1
CVE-2024-38252Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-38253Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-38247Windows图形组件本地权限提升漏洞7.8/6.8
CVE-2024-38249Windows图形组件本地权限提升漏洞7.8/6.8
CVE-2024-43457Windows设置和部署本地权限提升漏洞7.8/6.8
CVE-2024-43461Windows MSHTML平台欺骗漏洞8.8/7.7
CVE-2024-43487Windows网络标记(MOTW)安全功能绕过漏洞6.5/6.0

  • CVE-2024-38018、CVE-2024-43464、CVE-2024-38227、CVE-2024-38228：Microsoft SharePoint Server远程代码执行漏洞

CVE-2024-38018和CVE-2024-43464是Microsoft SharePoint Server中的不可信数据反序列化漏洞（CWE-502）。经过身份认证的站点成员可以将特制文件上传到目标SharePoint Server，并制作专门的API请求以触发文件参数的反序列化来利用这些漏洞。成功利用这些漏洞的攻击者能够在SharePoint Server上下文中执行任意代码。
CVE-2024-38227和CVE-2024-38228是Microsoft SharePoint Server中的命令注入漏洞（CWE-77）。经过身份认证的具有站点所有者权限的用户可以利用此漏洞注入任意命令，并在SharePoint Server上下文中执行这些命令。

  • CVE-2024-38237、CVE-2024-38238、CVE-2024-38241、CVE-2024-38242、CVE-2024-38243、CVE-2024-38244、CVE-2024-38245：Kernel Streaming服务驱动本地权限提升漏洞

CVE-2024-38237、CVE-2024-38238和CVE-2024-38242是Kernel Streaming服务驱动中的堆溢出漏洞（CWE-122）。CVE-2024-38241、CVE-2024-38243、CVE-2024-38244、CVE-2024-38245是Kernel Streaming服务驱动中的输入验证不当漏洞（CWE-20）。
经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38246、CVE-2024-38252、CVE-2024-38253：Windows Win32k本地权限提升漏洞
CVE-2024-38246是Windows Win32k中的栈溢出漏洞（CWE-121）。CVE-2024-38252和CVE-2024-38253是Windows Win32k中的释放后重用UAF漏洞（CWE-416）。
经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-38247、CVE-2024-38249：Windows图形组件本地权限提升漏洞

CVE-2024-38247是Windows图形组件中的双重释放漏洞（CWE-415）。CVE-2024-38249是Windows图形组件中的释放后重用UAF漏洞（CWE-416）。
经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-43457：Windows设置和部署本地权限提升漏洞

CVE-2024-43457是Windows设置和部署中的未经引用的搜索路径或元素漏洞（CWE-428）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-43461：Windows MSHTML平台欺骗漏洞
CVE-2024-43461是Windows MSHTML平台中的关键信息的UI错误表达漏洞（CWE-451）。远程攻击者可以诱骗受害者访问特制的网站，执行欺骗攻击并可能危及受影响的系统。
  • CVE-2024-43487：Windows网络标记(MOTW)安全功能绕过漏洞
CVE-2024-43487是Windows网络标记(MOTW)安全功能中的保护机制失效漏洞（CWE-693）。未经身份认证的远程攻击者通过在其控制的服务器上托管一个文件，然后诱使目标用户下载并打开该文件来利用此漏洞。成功利用此漏洞能够绕过Windows网络标记(MOTW)安全功能。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-38220Azure Stack Hub权限提升漏洞9.0/7.8
CVE-2024-26186Microsoft SQL Server Native Scoring远程代码执行漏洞8.8/7.7
CVE-2024-21416Windows TCP/IP远程代码执行漏洞8.1/7.1

  • CVE-2024-38220：Azure Stack Hub权限提升漏洞

CVE-2024-38220是Azure Stack Hub中的访问控制不当漏洞（CWE-284）。经过普通用户身份认证的远程攻击者必须等待受害者发起连接才能利用此漏洞。成功利用此漏洞的攻击者可以未经授权访问系统资源，并可能允许他们以与受感染进程相同的权限执行操作。

  • CVE-2024-26186：Microsoft SQL Server Native Scoring远程代码执行漏洞

CVE-2024-26186是Microsoft SQL Server Native Scoring中的释放后重用UAF漏洞（CWE-416）。成功利用此漏洞需要经过身份验证的攻击者利用SQL Server Native Scoring将预先训练的模型应用于他们的数据，而无需将其移出数据库。
本月更新中还发布了很多此组件的漏洞，请到MSRC官网查看更多漏洞的详细信息。
  • CVE-2024-21416：Windows TCP/IP远程代码执行漏洞
CVE-2024-21416是Windows TCP/IP中的堆溢出漏洞（CWE-122）。未经身份认证的远程攻击者通过向配置了NetNAT服务的Windows计算机发送特制请求来利用此漏洞。该服务不是默认配置。此外，必须存在特定的网络条件才能成功利用该漏洞。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的9月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Sep

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 11 Sep 2024 15:57:00 +0800 【风险提示】天融信关于微软2024年8月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496656&idx=1&sn=629d69cf53bcf827e6076a1ce898aa41 2024年8月14日，天融信阿尔法实验室监测到微软官方发布了8月安全更新。此次更新共修复90个漏洞（不包含3个外部分配漏洞和本月早些时候发布的9个Edge漏洞），其中7个严重漏洞、80个重要漏洞、3个中危漏洞。 原创 天融信应急响应 2024-08-14 15:31 北京

2024年8月14日，天融信阿尔法实验室监测到微软官方发布了8月安全更新。此次更新共修复90个漏洞（不包含3个外部分配漏洞和本月早些时候发布的9个Edge漏洞），其中7个严重漏洞、80个重要漏洞、3个中危漏洞。

0x00 背景介绍

2024年8月14日，天融信阿尔法实验室监测到微软官方发布了8月安全更新。此次更新共修复90个漏洞（不包含3个外部分配漏洞和本月早些时候发布的9个Edge漏洞），其中7个严重漏洞(Critical)、80个重要漏洞(Important)、3个中危漏洞(Moderate)。其中权限提升漏洞36个、远程代码执行漏洞30个、信息泄露漏洞9个、拒绝服务漏洞6个、欺骗漏洞5个、安全功能绕过漏洞1个、XSS漏洞2个、篡改漏洞1个。

本次微软安全更新涉及组件包括：Windows Kernel、Windows Power Dependency Coordinator、Windows Scripting、Microsoft Office Project、Windows Ancillary Function Driver for WinSock、Windows Mark of the Web (MOTW)、Windows Secure Kernel Mode、Line Printer Daemon Service (LPD)、Microsoft Office、Windows Update Stack、Windows TCP/IP、Microsoft Streaming Service、Windows DWM Core Library、Windows Transport Security Layer (TLS)、Windows Common Log File System Driver、Windows Print Spooler Components等多个产品和组件。
微软本次修复中，CVE-2024-38106、CVE-2024-38107、CVE-2024-38178、CVE-2024-38189、CVE-2024-38193、CVE-2024-38213被在野利用，CVE-2024-21302、CVE-2024-38199、CVE-2024-38200、CVE-2024-38202被公开披露。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。

  • 在野利用和公开披露漏洞

CVE漏洞名称CVSS3.1
CVE-2024-38106Windows Kernel本地权限提升漏洞7.0/6.5
CVE-2024-38107Windows Power Dependency Coordinator本地权限提升漏洞7.8/7.2
CVE-2024-38178Jscript9脚本引擎内存损坏漏洞7.5/7.0
CVE-2024-38189Microsoft Project远程代码执行漏洞8.8/8.2
CVE-2024-38193Windows WinSock辅助功能驱动本地权限提升漏洞7.8/7.2
CVE-2024-38213Windows网络标记(MOTW)安全功能绕过漏洞6.5/6.0
CVE-2024-21302Windows Secure Kernel Mode本地权限提升漏洞6.7/6.1
CVE-2024-38199Windows Line Printer Daemon(LPD)服务远程代码执行漏洞9.8/8.5
CVE-2024-38200Microsoft Office欺骗漏洞6.5/5.7
CVE-2024-38202Windows Update Stack本地权限提升漏洞7.3/6.9

  • CVE-2024-38106：Windows Kernel本地权限提升漏洞

该漏洞已发现在野利用。此漏洞是Windows Kernel中的敏感数据存储于加锁不恰当的内存区域漏洞（CWE-591）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。成功利用此漏洞需要攻击者赢得竞争条件。
  • CVE-2024-38107：Windows Power Dependency Coordinator本地权限提升漏洞
该漏洞已发现在野利用。此漏洞是Windows Power Dependency Coordinator中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38178：Jscript9脚本引擎内存损坏漏洞
该漏洞已发现在野利用。此漏洞是Windows Jscript9脚本引擎中的类型混淆漏洞（CWE-843）。未经身份认证的远程攻击者通过向经过身份认证的受害者发送特制的URL，并说服受害者用Edge打开该URL来利用此漏洞，成功利用此漏洞的攻击者可以获得在受害者系统上下文执行任意代码的能力。此漏洞在Microsoft Edge的Internet Explorer模式下触发。
  • CVE-2024-38189：Microsoft Project远程代码执行漏洞
该漏洞已发现在野利用。此漏洞是Microsoft Project中的不正确输入验证漏洞（CWE-20）。要利用该漏洞，需要受害者在系统上打开恶意的Microsoft Office Project文件，但该系统中的“阻止宏通过Internet在Office文件中运行”策略已被禁用，并且“VBA宏通知设置”也未启用，从而允许攻击者执行远程代码执行。此漏洞可通过“电子邮件”和“Web网站”两种场景进行利用。
  • CVE-2024-38193：Windows WinSock辅助功能驱动本地权限提升漏洞
该漏洞已发现在野利用。此漏洞是Windows WinSock辅助功能驱动中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38213：Windows网络标记(MOTW)安全功能绕过漏洞
该漏洞已发现在野利用。此漏洞是Windows网络标记(MOTW)中的保护机制缺失漏洞（CWE-693）。远程攻击者通过受害者发送恶意文件并诱使他们打开它来利用此漏洞，成功利用此漏洞的攻击者可以绕过SmartScreen安全功能。
  • CVE-2024-21302：Windows Secure Kernel Mode本地权限提升漏洞
该漏洞被公开披露。此漏洞是Windows Secure Kernel Mode中的不正确访问控制漏洞（CWE-284）。此漏洞允许具有管理员权限的攻击者将当前版本的Windows系统文件替换为旧版本。通过利用此漏洞，攻击者可以重新引入之前已缓解的漏洞，绕过VBS的某些功能，并窃取受VBS保护的数据。
  • CVE-2024-38199：Windows Line Printer Daemon(LPD)服务远程代码执行漏洞
该漏洞被公开披露。此漏洞是Windows Line Printer Daemon(LPD)服务中的释放后重用UAF漏洞（CWE-416）。未经身份认证的远程攻击者通过向共享的易受攻击的Windows行式打印机守护程序(LPD)服务发送特制的打印任务来利用此漏洞，成功利用此漏洞可能导致在服务器上执行任意代码。
  • CVE-2024-38200：Microsoft Office欺骗漏洞
该漏洞被公开披露。此漏洞是Microsoft Office中的向未经授权的行为者泄露敏感信息漏洞（CWE-200）。远程攻击者通过创建一个恶意网站（其中包含利用此漏洞的特制文件），然后向受害者发送该网站的链接，并说服受害者点击该链接和打开文件来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的NTLM凭据。
  • CVE-2024-38202：Windows Update Stack本地权限提升漏洞
该漏洞被公开披露。此漏洞是Windows Update Stack中的不正确的访问控制漏洞（CWE-284）。具有基本用户权限的攻击者能够重新引入之前已缓解的漏洞或绕过VBS的某些功能。要成功利用此漏洞，攻击者必须说服或诱骗管理用户执行系统还原。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-38063Windows TCP/IP远程代码执行漏洞9.8/8.5
CVE-2024-38125Kernel Streaming WOW Thunk服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38144Kernel Streaming WOW Thunk服务驱动权限提升漏洞8.8/7.7
CVE-2024-38133Windows Kernel本地权限提升漏洞7.8/6.8
CVE-2024-38141Windows WinSock辅助功能驱动本地权限提升漏洞7.8/6.8
CVE-2024-38147Microsoft DWM核心库本地权限提升漏洞7.8/6.8
CVE-2024-38150Microsoft DWM核心库本地权限提升漏洞7.8/6.8
CVE-2024-38148Windows Secure Channel拒绝服务漏洞7.5/6.5
CVE-2024-38163Windows Update Stack本地权限提升漏洞7.8/6.8
CVE-2024-38196Windows通用日志文件系统驱动本地权限提升漏洞7.8/6.8
CVE-2024-38198Windows Print Spooler权限提升漏洞7.5/6.5

  • CVE-2024-38063：Windows TCP/IP远程代码执行漏洞

此漏洞是Windows TCP/IP中的整数下溢或回绕漏洞（CWE-191）。未经身份认证的攻击者可以向Windows计算机反复发送包含特制数据包的IPv6数据包，从而可以实现远程代码执行。
临时缓解措施：如果目标系统禁用IPv6，系统不会受到影响。

  • CVE-2024-38125、CVE-2024-38144：Kernel Streaming WOW Thunk服务驱动权限提升漏洞

CVE-2024-38125是Kernel Streaming WOW Thunk服务驱动中的数字截断错误（CWE-197）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
CVE-2024-38144是Kernel Streaming WOW Thunk服务驱动中的整数上溢或回绕漏洞（CWE-190）。经过普通用户身份认证的远程攻击者通过将特制的数据传递给目标系统来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38133：Windows Kernel本地权限提升漏洞
该漏洞是Windows Kernel中的对特殊元素的转义处理不恰当漏洞（CWE-138）。攻击者可以通过诱骗用户向恶意服务器发送请求来利用此漏洞。这可能导致服务器返回恶意数据，从而导致在用户系统上执行任意代码。成功利用此漏洞的攻击者可以获得SYSTEM权限。

  • CVE-2024-38141：Windows WinSock辅助功能驱动本地权限提升漏洞

该漏洞是Windows WinSock辅助功能驱动中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-38147、CVE-2024-38150：Microsoft DWM核心库本地权限提升漏洞

这些漏洞都是Microsoft DWM核心库中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38148：Windows Secure Channel拒绝服务漏洞
该漏洞是Windows Secure Channel中的越界读漏洞（CWE-125）。未经身份认证的远程攻击者可以触发目标系统中的越界读取漏洞，并导致目标系统拒绝服务。
  • CVE-2024-38163：Windows Update Stack本地权限提升漏洞
该漏洞是Windows Update Stack中的访问控制不当漏洞（CWE-284）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38196：Windows通用日志文件系统驱动本地权限提升漏洞
该漏洞是Windows通用日志文件系统驱动中的不正确的输入验证漏洞（CWE-20）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38198：Windows Print Spooler权限提升漏洞
该漏洞是Windows Print Spooler中的数据真实性验证不足漏洞（CWE-345）。经过普通用户身份认证的远程攻击者通过将特制的数据传递给目标系统来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。成功利用此漏洞需要攻击者赢得竞争条件。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-38140Windows可靠的组播传输驱动(RMCAST)远程代码执行漏洞9.8/8.5
CVE-2024-38159Windows Network Virtualization远程代码执行漏洞9.1/7.9
CVE-2024-38160Windows Network Virtualization远程代码执行漏洞9.1/7.9

  • CVE-2024-38140：Windows可靠的组播传输驱动(RMCAST)远程代码执行漏洞

该漏洞是Windows可靠的组播传输驱动(RMCAST)中的释放后重用UAF漏洞（CWE-416）。未经身份认证的远程攻击者可以通过向服务器上的Windows Pragmatic General Multicast(PGM)开放套接字发送特制的数据包来利用此漏洞，而无需用户进行任何交互。

  • CVE-2024-38159、CVE-2024-38160：Windows Network Virtualization远程代码执行漏洞

CVE-2024-38159是Windows Network Virtualization中的释放后重用UAF漏洞（CWE-416）。CVE-2024-38159是Windows Network Virtualization中的堆溢出漏洞（CWE-122）。为了成功利用这些漏洞，攻击者或目标用户需要对机器实现高级别的控制，因为攻击需要访问通常限制普通用户访问的进程。
攻击者可以利用Windows Server 2016的wnv.sys组件中未经检查的返回值来利用此漏洞。通过操纵内存描述符表(MDL)的内容，攻击者可以导致未经授权的内存写入，甚至释放当前正在使用的有效块，从而导致关键的客户机到主机的逃逸。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的8月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Aug

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 14 Aug 2024 15:31:00 +0800 【风险提示】天融信关于Windows 远程桌面许可服务远程代码执行漏洞(CVE-2024-38077)的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496654&idx=1&sn=c5c34d08fc0854fbc917b591cdaf263c 8月9日，天融信阿尔法实验室监测到被命名为“狂躁许可（MadLicense）”的远程桌面许可服务远程代码执行漏洞（CVE-2024-38077）的部分漏洞细节及PoC伪代码在互联网上公开，微软已在2024年7月月度更新中发布此漏洞的补丁。 天融信应急响应 2024-08-09 13:29 北京

8月9日，天融信阿尔法实验室监测到被命名为“狂躁许可（MadLicense）”的远程桌面许可服务远程代码执行漏洞（CVE-2024-38077）的部分漏洞细节及PoC伪代码在互联网上公开，微软已在2024年7月月度更新中发布此漏洞的补丁。

0x00 背景介绍

8月9日，天融信阿尔法实验室监测到被命名为“狂躁许可（MadLicense）”的远程桌面许可服务远程代码执行漏洞（CVE-2024-38077）的部分漏洞细节及PoC伪代码在互联网上公开，微软已在2024年7月月度更新中发布此漏洞的补丁。

此漏洞影响Windows Server 2000到Windows Server 2025所有版本，已存在近30年。远程攻击者可以通过网络稳定利用此漏洞进行远控、勒索、蠕虫等攻击，且利用此漏洞无需任何权限即可实现远程代码执行。
0x01 漏洞描述

远程桌面许可服务（Remote Desktop Licensing，RDL）是Windows Server的一个组件，用于管理和颁发远程桌面服务的许可证，确保对远程应用程序和桌面进行安全且合规的访问。该服务被广泛部署于开启了Windows远程桌面服务（3389端口）的服务器上。RDL服务不是默认安装，但很多管理员会手动开启。

此漏洞是Windows Server RDL服务中的一个堆溢出漏洞（CWE-122），由于在解码用户输入的许可密钥包时，未正确检验解码后数据长度与缓冲区大小之间的关系，导致堆溢出。未经授权的远程攻击者通过向存在漏洞的Windows Server发送特制的数据包来利用此漏洞，成功利用此漏洞可在该目标服务器上执行任意代码。
目前，该漏洞的部分细节以及PoC伪代码已公开，但需要进行分析漏洞成因后，修改该PoC伪代码，才能真正复现该漏洞。
0x02 漏洞编号

CVE-2024-38077

0x03 漏洞等级

严重

0x04 影响版本

Windows Server 2012 R2 (Server Core installation)

Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server 2019 (Server Core installation)
Windows Server 2019
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2022, 23H2 Edition (Server Core installation)
0x05 修复建议

  • Windows自动更新
Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的7月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Jul
0x06 参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-38077

0x07 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。




天融信

阿尔法实验室

长按二维码关注我们

阅读原文

跳转微信打开

]]> Fri, 09 Aug 2024 13:29:00 +0800 【风险提示】天融信关于微软2024年7月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496650&idx=1&sn=3178a0172b6a8b78b1442119141488c8 2024年7月10日，天融信阿尔法实验室监测到微软官方发布了7月安全更新。此次更新共修复138个漏洞（不包含4个外部分配漏洞），其中5个严重漏洞、132个重要漏洞、1个中危漏洞。 原创 天融信应急响应 2024-07-10 15:15 北京

2024年7月10日，天融信阿尔法实验室监测到微软官方发布了7月安全更新。此次更新共修复138个漏洞（不包含4个外部分配漏洞），其中5个严重漏洞、132个重要漏洞、1个中危漏洞。

0x00 背景介绍

2024年7月10日，天融信阿尔法实验室监测到微软官方发布了7月安全更新。此次更新共修复138个漏洞（不包含4个外部分配漏洞），其中5个严重漏洞(Critical)、132个重要漏洞(Important)、1个中危漏洞(Moderate)。其中权限提升漏洞24个、远程代码执行漏洞59个、信息泄露漏洞8个、拒绝服务漏洞17个、欺骗漏洞6个、安全功能绕过漏洞24个。

本次微软安全更新涉及组件包括：Windows Hyper-V、Windows MSHTML Platform、Microsoft Office、Microsoft Office SharePoint、Microsoft Streaming Service、Windows Win32K、Microsoft Windows Codecs Library、Microsoft Graphics Component、Windows Remote Desktop Licensing Service、Windows COM Session、SQL Server、Windows Secure Boot等多个产品和组件。
微软本次修复中，CVE-2024-38080和CVE-2024-38112被在野利用，CVE-2024-35264和CVE-2024-37985被公开披露。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。

  • 在野利用和公开披露漏洞

CVE漏洞名称CVSS3.1
CVE-2024-38080Windows Hyper-V本地权限提升漏洞7.8/6.8
CVE-2024-38112Windows MSHTML平台欺骗漏洞7.5/7.0
CVE-2024-35264.NET和Visual Studio远程代码执行漏洞8.1/7.1

  • CVE-2024-38080：Windows Hyper-V本地权限提升漏洞

该漏洞已发现在野利用。此漏洞是Windows Hyper-V中的整数溢出或环绕漏洞（CWE-190）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38112：Windows MSHTML平台欺骗漏洞
该漏洞已发现在野利用。此漏洞是Windows MSHTML平台中的资源暴露在错误的领域漏洞（CWE-668）。未经身份认证的远程攻击者通过向受害者发送恶意文件，并说服其打开该文件来利用此漏洞。由于此漏洞需要攻击者在利用之前准备目标环境，所以攻击复杂度较高。
  • CVE-2024-35264：.NET和Visual Studio远程代码执行漏洞
该漏洞被公开披露。此漏洞是.NET和Visual Studio中的释放后重用UAF漏洞（CWE-416）。未经身份认证的远程攻击者通过在处理请求主体时关闭http/3流来利用此漏洞。成功利用此漏洞的攻击者可以获得在目标系统上下文执行任意代码的能力。利用此漏洞需要攻击者赢得竞争条件。
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-38021Microsoft Office远程代码执行漏洞8.8/7.7
CVE-2024-38023Microsoft SharePoint Server远程代码执行漏洞7.2/6.3
CVE-2024-38024Microsoft SharePoint Server远程代码执行漏洞7.2/6.3
CVE-2024-38094Microsoft SharePoint Server远程代码执行漏洞7.2/6.3
CVE-2024-38052Kernel Streaming WOW Thunk服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38054Kernel Streaming WOW Thunk服务驱动本地权限提升漏洞7.8/6.8
CVE-2024-38059Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-38066Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-38060Windows Imaging组件远程代码执行漏洞8.8/7.7
CVE-2024-38079Windows图形组件本地权限提升漏洞7.8/6.8
CVE-2024-38085Windows图形组件本地权限提升漏洞7.8/6.8
CVE-2024-38099Windows Remote Desktop授权服务拒绝服务漏洞5.9/5.2
CVE-2024-38100Windows File Explorer本地权限提升漏洞7.8/6.8

  • CVE-2024-38021：Microsoft Office远程代码执行漏洞

此漏洞是Microsoft Office中的输入验证不当漏洞（CWE-20）。未经身份认证的远程攻击者通过向受害者发送一个绕过受保护视图协议的恶意链接，并说服其打开该链接来利用此漏洞。成功利用此漏洞的攻击者可以获得高权限，包括读取、写入和删除功能。

  • CVE-2024-38023、CVE-2024-38024、CVE-2024-38094：Microsoft SharePoint Server远程代码执行漏洞

这些漏洞都是Microsoft SharePoint Server中的不受信任数据的反序列化漏洞（CWE-502）。经过身份认证且拥有站点所有者权限或更高权限的攻击者通过将特制文件上传到目标SharePoint Server，并制作专门的API请求以触发文件参数的反序列化来利用这些漏洞。成功利用这些漏洞的攻击者能够注入任意代码，并在SharePoint Server上下文中执行此代码。
  • CVE-2024-38052、CVE-2024-38054：Kernel Streaming WOW Thunk服务驱动本地权限提升漏洞
CVE-2024-38052是Kernel Streaming WOW Thunk服务驱动中的不正确的输入验证漏洞（CWE-20）。CVE-2024-38054是该驱动中的堆溢出漏洞（CWE-122）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-38059、CVE-2024-38066：Windows Win32k本地权限提升漏洞

CVE-2024-38059和CVE-2024-38066都是Windows Win32k中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-38060：Windows Imaging组件远程代码执行漏洞

该漏洞是Windows Imaging组件中的堆溢出漏洞（CWE-122）。经过普通用户身份认证的远程攻击者通过将恶意TIFF文件上传到服务器来利用此漏洞。成功利用此漏洞的攻击者能够在受害者系统上下文中执行任意代码。
  • CVE-2024-38079、CVE-2024-38085：Windows图形组件本地权限提升漏洞
CVE-2024-38079是Windows图形组件中的堆溢出漏洞（CWE-122）。CVE-2024-38085是该组件中的释放后重用UAF漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-38099：Windows Remote Desktop授权服务拒绝服务漏洞
该漏洞是Windows Remote Desktop授权服务中的认证不当漏洞（CWE-287）。成功利用此漏洞需要攻击者拥有高级逆向工程技能来识别并获得对特定远程过程调用(RPC)端点的未经授权的访问。
  • CVE-2024-38100：Windows File Explorer本地权限提升漏洞
该漏洞是Windows File Explorer中的访问控制不当漏洞（CWE-284）。普通本地用户可以绕过已实施的安全限制并获得目标系统的Administrator权限。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-38074Windows Remote Desktop授权服务远程代码执行漏洞9.8/8.5
CVE-2024-38076Windows Remote Desktop授权服务远程代码执行漏洞9.8/8.5
CVE-2024-38077Windows Remote Desktop授权服务远程代码执行漏洞9.8/8.5
CVE-2024-38089Microsoft Defender for IoT权限提升漏洞9.1/7.9
CVE-2024-20701SQL Server Native Client OLE DB提供程序远程代码执行漏洞8.8/7.7
CVE-2024-28899Secure Boot安全功能绕过漏洞8.8/7.7

  • CVE-2024-38074、CVE-2024-38076、CVE-2024-38077：Windows Remote Desktop授权服务远程代码执行漏洞

CVE-2024-38074是Windows Remote Desktop授权服务中的整数下溢或回绕漏洞（CWE-191）。CVE-2024-38076和CVE-2024-38077都是该组件中的堆溢出漏洞（CWE-122）。未经身份认证的远程攻击者通过向设置为远程桌面授权服务器的服务器发送特制的数据包来利用这些漏洞。成功利用这些漏洞的攻击者可以获得在目标服务器系统上下文中执行任意代码的能力。

  • CVE-2024-38089：Microsoft Defender for IoT权限提升漏洞

该漏洞是Microsoft Defender for IoT中的权限管理不当漏洞（CWE-269）。经过高级用户身份认证的远程攻击者通过逃离sensor-app docker容器（正在运行Web应用程序）并在主机上运行命令来利用该漏洞。成功利用此漏洞的攻击者能够获得逃离AppContainer并冒充非AppContainer令牌的能力。

  • CVE-2024-20701：SQL Server Native Client OLE DB提供程序远程代码执行漏洞

该漏洞是SQL Server Native Client OLE DB提供程序中的堆溢出漏洞（CWE-122）。攻击者可以通过诱骗经过身份认证的用户尝试通过连接驱动程序(例如：OLE DB或OLEDB，视情况而定)连接到恶意SQL服务器数据库来利用此漏洞。这可能导致数据库返回恶意数据，从而导致客户端上执行任意代码。
本月更新中还发布了很多此组件的漏洞，请到MSRC官网查看更多漏洞的详细信息。
  • CVE-2024-28899：Secure Boot安全功能绕过漏洞
该漏洞是Secure Boot中的栈溢出漏洞（CWE-121）。经过身份认证的局域网攻击者通过安装恶意的.wim文件来利用此漏洞。成功利用此漏洞的攻击者可以绕过安全启动。
本月更新中还发布了很多此组件的漏洞，请到MSRC官网查看更多漏洞的详细信息。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的7月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Jul

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 10 Jul 2024 15:15:00 +0800 【风险提示】天融信关于OpenSSH远程代码执行漏洞(CVE-2024-6387)的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496648&idx=1&sn=34cf6111dc8ff2fca5fb1e2c2b2acd74 近日，天融信阿尔法实验室监测到国外研究团队Qualys发布了OpenSSH的一个远程代码执行漏洞CVE-2024-6387的细节及漏洞利用代码，该漏洞被命名为“regreSSHion”。 天融信应急响应 2024-07-02 14:10 北京

近日，天融信阿尔法实验室监测到国外研究团队Qualys发布了OpenSSH的一个远程代码执行漏洞CVE-2024-6387的细节及漏洞利用代码，该漏洞被命名为“regreSSHion”。

0x00 背景介绍

近日，天融信阿尔法实验室监测到国外研究团队Qualys发布了OpenSSH的一个远程代码执行漏洞CVE-2024-6387的细节及漏洞利用代码，该漏洞被命名为“regreSSHion”。建议受影响用户尽快做好自查和防护。

0x01 漏洞描述

OpenSSH的sshd组件存在一个信号处理条件竞争漏洞CVE-2024-6387，未经身份认证的远程攻击者能够利用此漏洞以root权限执行任意代码。该漏洞是CVE-2006-5051的回归，是在OpenSSH 8.5p1版本的一次代码变更中引入的。

该漏洞被证实能够在Linux系统上运行的以Glibc编译的OpenSSH上成功利用，不过利用过程复杂、成功率不高且耗时较长。漏洞发现作者表示，平均需要大于10000次尝试（大约3~4小时）才能赢得竞争条件，平均需要6~8小时才能获得远程root shell。在以非Glibc编译的OpenSSH上利用此漏洞也是可能的，但尚未证实。
目前的漏洞利用代码仅针对在32位Linux系统上运行的OpenSSH，由于在64位Linux系统下的ASLR更强，因此在64位Linux系统上利用该漏洞的难度更大。
0x02 影响版本

1、OpenSSH < 4.4p1。4.4p1之前的OpenSSH版本容易受到此信号处理程序竞争条件的影响，除非它们针对CVE-2006-5051和CVE-2008-4109进行了修补。

2、8.5p1 <= OpenSSH < 9.8p1。8.5p1及之后的OpenSSH版本由于意外删除了漏洞函数中的一段代码，使CVE-2006-5051漏洞被重新引入。
0x03 修复建议

  • 临时缓解
如果暂时无法更新和重新编译sshd,可通过如下步骤暂时缓解该漏洞：
可以在配置文件/etc/ssh/sshd_config中将LoginGraceTime设置为0（永不超时）。这可以防止远程代码执行的风险，但仍然会造成sshd拒绝服务。
  • 升级修复
目前官方已有可更新版本，建议受影响用户参考以下链接下载源码并重新编译以升级至最新版本：
https://www.openssh.com/releasenotes.html
https://github.com/openssh/openssh-portable/releases/tag/V_9_8_P1
Linux发行版可根据各个发行版漏洞公告页面的修复信息将OpenSSH升级到Linux发行版官方编译的安全版本。
Debian漏洞公告：
https://security-tracker.debian.org/tracker/CVE-2024-6387
Ubuntu漏洞公告：
https://ubuntu.com/security/CVE-2024-6387
RedHat漏洞公告：

https://access.redhat.com/security/cve/cve-2024-6387

0x04 参考链接

1、OpenSSH漏洞公告

https://www.openssh.com/releasenotes.html#9.8p1

2、漏洞发现者披露文章
https://blog.qualys.com/vulnerabilities-threat-research/2024/07/01/regresshion-remote-unauthenticated-code-execution-vulnerability-in-openssh-server
https://www.qualys.com/2024/07/01/cve-2024-6387/regresshion.txt

0x05 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。




天融信

阿尔法实验室

长按二维码关注我们

阅读原文

跳转微信打开

]]> Tue, 02 Jul 2024 14:10:00 +0800 【风险提示】天融信关于微软2024年06月安全更新的风险提示 https://mp.weixin.qq.com/s?__biz=Mzg3MDAzMDQxNw==&mid=2247496633&idx=1&sn=48aa313024aec20eeda560151222e620 2024年06月12日，天融信阿尔法实验室监测到微软官方发布了06月安全更新。此次更新共修复49个漏洞（不包含2个外部分配漏洞和本月早些时候发布的7个Edge漏洞），其中1个严重漏洞、48个重要漏洞。 原创 天融信应急响应 2024-06-12 15:11 北京

2024年06月12日，天融信阿尔法实验室监测到微软官方发布了06月安全更新。此次更新共修复49个漏洞（不包含2个外部分配漏洞和本月早些时候发布的7个Edge漏洞），其中1个严重漏洞、48个重要漏洞。

0x00 背景介绍

2024年06月12日，天融信阿尔法实验室监测到微软官方发布了06月安全更新。此次更新共修复49个漏洞（不包含2个外部分配漏洞和本月早些时候发布的7个Edge漏洞），其中1个严重漏洞(Critical)、48个重要漏洞(Important)。其中权限提升漏洞24个、远程代码执行漏洞18个、信息泄露漏洞3个、拒绝服务漏洞4个。

本次微软安全更新涉及组件包括：Windows Server Service、Windows Win32K、Windows Kernel-Mode Drivers、Windows Cloud Files Mini Filter Driver、Windows Kernel、Microsoft Streaming Service、Windows Wi-Fi Driver、Microsoft Office等多个产品和组件。
微软本次修复中，无在野利用与公开披露漏洞。
0x01 重点漏洞描述
本次微软更新中重点漏洞的信息如下所示。
  • 漏洞利用可能性较大的漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-30080Microsoft消息队列(MSMQ)远程代码执行漏洞9.8/8.5
CVE-2024-30082Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-30086Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-30087Windows Win32k本地权限提升漏洞7.8/6.8
CVE-2024-30091Windows Win32k本地权限提升漏洞7.8/7.0
CVE-2024-30084Windows内核模式驱动本地权限提升漏洞7.0/6.1
CVE-2024-35250Windows内核模式驱动本地权限提升漏洞7.8/6.8
CVE-2024-30085Windows Cloud Files微过滤器驱动本地权限提升漏洞7.8/7.0
CVE-2024-30088Windows Kernel本地权限提升漏洞7.0/6.3
CVE-2024-30099Windows Kernel本地权限提升漏洞7.0/6.3
CVE-2024-30089Windows流服务本地权限提升漏洞7.8/6.8

  • CVE-2024-30080：Microsoft消息队列(MSMQ)远程代码执行漏洞

此漏洞是Windows Server服务消息队列(MSMQ)实现中的释放后重用漏洞（CWE-416）。未经身份认证的远程攻击者通过向MSMQ服务器发送特制的恶意MSMQ数据包来利用此漏洞，成功利用此漏洞可以获得在MSMQ服务器端远程执行代码的能力。
Windows消息队列服务是一个Windows组件，需要启用该服务，才能利用此漏洞。此功能可以通过控制面板添加。您可以检查是否有一个名为Message Queuing的服务正在运行，并且机器上的TCP端口1801正在监听来查看此服务的运行状态。

  • CVE-2024-30082、CVE-2024-30086、CVE-2024-30087、CVE-2024-30091：Windows Win32k本地权限提升漏洞

CVE-2024-30082和CVE-2024-30086都是Windows Win32k子系统中的释放后重用漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
CVE-2024-30087是Windows Win32k子系统中不正确的输入验证漏洞（CWE-20），CVE-2024-30091是Windows Win32k子系统中的堆溢出漏洞（CWE-122）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得运行受影响应用程序的用户的权限。
  • CVE-2024-30084、CVE-2024-35250：Windows内核模式驱动本地权限提升漏洞
CVE-2024-30084是Windows内核模式驱动中的TOCTOU条件竞争漏洞（CWE-367）。CVE-2024-35250是Windows内核模式驱动中的不可信指针解引用漏洞（CWE-822）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-30085：Windows Cloud Files微过滤器驱动本地权限提升漏洞

CVE-2024-30085是Windows Cloud Files微过滤器驱动中的堆溢出漏洞（CWE-122）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。

  • CVE-2024-30088、CVE-2024-30099：Windows Kernel本地权限提升漏洞

CVE-2024-30088和CVE-2024-30099都是Windows Kernel中的TOCTOU条件竞争漏洞（CWE-367）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用这些漏洞。成功利用这些漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • CVE-2024-30089：Windows流服务本地权限提升漏洞
CVE-2024-30089是Windows流服务中的释放后重用漏洞（CWE-416）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得目标系统的SYSTEM权限。
  • 高评分漏洞
CVE
漏洞名称
CVSS3.1
CVE-2024-30064Windows Kernel本地权限提升漏洞8.8/7.7
CVE-2024-30068Windows Kernel本地权限提升漏洞8.8/7.7
CVE-2024-30078Windows Wi-Fi驱动远程代码执行漏洞8.8/7.7
CVE-2024-30097Microsoft语音应用编程接口(SAPI)远程代码执行漏洞8.8/7.7
CVE-2024-30103Microsoft Outlook远程代码执行漏洞8.8/7.7
CVE-2024-35249Microsoft Dynamics 365 Business Central远程代码执行漏洞8.8/7.7

  • CVE-2024-30064：Windows Kernel本地权限提升漏洞

该漏洞是Windows Kernel中的整数溢出或环绕漏洞（CWE-190）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以未经授权访问系统资源，并可能允许他们以与受感染进程相同的权限执行操作。

  • CVE-2024-30068：Windows Kernel本地权限提升漏洞

该漏洞是Windows Kernel中的越界读漏洞（CWE-125）。经过普通用户身份认证的本地攻击者通过运行特制的程序来利用此漏洞。成功利用此漏洞的攻击者可以获得SYSTEM权限。

  • CVE-2024-30078：Windows Wi-Fi驱动远程代码执行漏洞

该漏洞是Windows Wi-Fi驱动中的不正确的输入验证漏洞（CWE-20）。未经身份认证的局域网攻击者可以向使用Wi-Fi网络适配器的相邻系统发送恶意网络数据包，从而实现远程代码执行。
  • CVE-2024-30097：Microsoft语音应用编程接口(SAPI)远程代码执行漏洞
该漏洞是Microsoft语音应用编程接口(SAPI)中的双重释放漏洞（CWE-415）。未经身份认证的远程攻击者通过诱骗经过身份验证的客户端单击链接来利用此漏洞。成功利用此漏洞的攻击者可以使系统拒绝服务或执行任意代码，从而损害系统完整性和可用性。
  • CVE-2024-30103：Microsoft Outlook远程代码执行漏洞

该漏洞是Microsoft Outlook中的不允许输入的不完整列表漏洞（CWE-184）。攻击者必须使用有效的Exchange用户凭据进行身份认证。成功利用此漏洞的攻击者可以绕过Outlook注册表阻止列表并创建恶意DLL文件。可通过预览窗格进行攻击。

  • CVE-2024-35249：Microsoft Dynamics 365 Business Central远程代码执行漏洞
该漏洞是Microsoft Dynamics 365 Business Central中的不可信数据的反序列化漏洞（CWE-502）。任何经过身份认证的远程攻击者均可触发此漏洞。此漏洞不需要管理员或其他提升的权限。
0x02 影响版本
影响多个主流版本的Windows，多个主流版本的Microsoft系列软件。
0x03 修复建议

  • Windows自动更新

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”。

2、选择“更新和安全”，进入“Windows更新”（Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）。

3、选择“检查更新”，等待系统将自动检查并下载可用更新。

4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

  • 手动安装补丁

另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的06月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2024-Jun

0x04 声明


天融信阿尔法实验室拥有对此公告的修改和解释权，如欲转载，必须保证此公告的完整性。由于传播、利用此公告而造成的任何后果，均由使用者本人负责，天融信阿尔法实验室不为此承担任何责任。

天融信阿尔法实验室成立于2011年，一直以来，阿尔法实验室秉承“攻防一体”的理念，汇聚众多专业技术研究人员，从事攻防技术研究，在安全领域前瞻性技术研究方向上不断前行。作为天融信的安全产品和服务支撑团队，阿尔法实验室精湛的专业技术水平、丰富的排异经验，为天融信产品的研发和升级、承担国家重大安全项目和客户服务提供强有力的技术支撑。



天融信

阿尔法实验室

长按二维码关注我们


阅读原文

跳转微信打开

]]> Wed, 12 Jun 2024 15:11:00 +0800