从路由器LED灯也能窃取数据 信息安全隐患细思极恐

　　国家信息安全漏洞共享平台上周共收集、整理信息安全漏洞326个，互联网上出现“WordPressconsole contact form插件文件上传漏洞、PlaySMS远程代码执行漏洞（CNVD-2017-08174）”等零日代码攻击漏洞，上周信息安全漏洞威胁整体评价级别为中。银行信息港为您梳理过去一周的信息安全行业要闻，告警重要漏洞并推出技术观澜，深入探讨信息安全知识。

　　一周行业要闻速览

　　国内Foscam制造的IP摄像头被曝出大量漏洞

　　未经身份验证的用户可以访问特定的设备端口，并利用命令注入漏洞向设备中添加一位新的root用户，或启用一个标准远程登录服务（Telnet）。接下来，当攻击者通过远程登录服务登录到设备之后，他们也就拿到了设备的管理员权限。>>详细

　　【汽车安全】CAN总线介绍：看我如何以编程方式控制汽车

　　一台现代化汽车拥有大量的控制系统，这些控制系统的作用与Web应用中各种微服务的作用是非常相似的。对于一台电动汽车来说，它拥有安全气囊、自动刹车系统、电动助力转向系统、音响系统、电动车门、后视镜调整系统、以及电池与充电系统等等。这些系统需要相互通信并获取其他系统的运行状态。>>详细

　　【安全报告】Android O限制系统全屏进一步遏制手机勒索

　　手机勒索软件是一种特殊的恶意软件，其通常将自身伪装为看似无害的软件或是利用社会工程学诱导受害者下载安装，随后通过恶意利用操作系统正常功能或者缺陷强制锁住用户桌面使得用户无法正常使用设备，并几乎都会要求受害者缴纳赎金以解锁设备。>>详细

　　技术观澜

　　路由器和交换机这样的网络设备上都配置了LED灯，这些LED的闪烁可以让我们了解设备的运行状态。但最新研究表明，这种网络设备中LED灯的闪烁行为不仅会泄漏数据，而且甚至还允许攻击者以较高的数据传输速度从物理隔离系统中提取出敏感数据。>>详细

　　如何通过公开的漏洞披露信息 完成开源程序漏洞的环境构建与验证

　　开源程序出现漏洞，经常是其中的一个开源库出现了问题，一个开源库出了问题很可能影响很多应用程序，但是我们很难判断一个应用程序就含有漏洞，只因这个应用程序使用了这个含有漏洞的开源库，有时候应用程序并没有使用到含有漏洞的开源库中的问题代码。>>详细

　　NAND闪存中存在安全漏洞 易遭“电容耦合”及“读取干扰”攻击

　　如今世界各地都在使用NAND Flash存储芯片，在手机、电脑和数据中心均可发现它的踪影。然而现在，卡耐基梅隆大学（CMU），希捷科技（Seagate Technology）和苏黎世联邦理工学院（ETHZ）的安全专家们在NAND数据存储芯片的专用芯片阵列中发现了安全漏洞。>>详细

　　安全威胁播报

　　上周漏洞基本情况

　　上周（2017年06月05日-2017年06月11日）信息安全漏洞威胁整体评价级别为中。

　　国家信息安全漏洞共享平台（以下简称CNVD）上周共收集、整理信息安全漏洞326个，其中高危漏洞147个、中危漏洞163个、低危漏洞16个。漏洞平均分值为6.22。上周收录的漏洞中，涉及0day漏洞144个（占44%），其中互联网上出现“WordPressconsole contact form插件文件上传漏洞、PlaySMS远程代码执行漏洞（CNVD-2017-08174）”等零日代码攻击漏洞。上周CNVD接到的涉及党政机关和企事业单位的事件型漏洞总数1067个，与上周（766）环比增长39%。

　　上周重要漏洞安全告警

　　Foscam相关产品安全漏洞

　　Foscam camera是一款网络摄像机，可以推送消息到手机，还可直接通过WIFI实现视频百度云存储。上周，该产品被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息和执行任意命令等。CNVD收录的相关漏洞包括：Foscam camera ONVIF重启漏洞、Foscam camera Telnet功能命令注入漏洞、Foscam cameraFTP服务器帐号空密码漏洞、Foscam camera FTP服务器帐号硬编码密码漏洞、Foscam camera ONVIF GetStreamUri管理员凭证泄露漏洞、Foscam camera Web用户界面隐藏硬编码凭证漏洞、Foscam camera目录权限分配不当漏洞、Foscam camera配置备份文件受硬编码保护漏洞。上述漏洞的综合评级为“高危”。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Google产品安全漏洞

　　Google Android是一款基于Linux的应用于智能手机设备的操作系统。上周，该产品被披露存在权限提升漏洞，攻击者可利用漏洞提升权限。CNVD收录的相关漏洞包括：Google AndroidGoodix touchscreen driver权限提升漏洞、Google Android HTC bootloader权限提升漏洞、Google Androidkernel trace subsystem权限提升漏洞、Google Android Motorola bootloader权限提升漏洞、Google AndroidQualcomm crypto driver权限提升漏洞、Google Android Qualcomm LED driver权限提升漏洞、Google AndroidQualcomm pin controller driver权限提升漏洞、Google Android Qualcomm power driver权限提升漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Huawei存在多个漏洞

　　Huawei HedEx Lite是中国华为（Huawei）公司的一款文档管理软件。HuaweiiManager NetEco是一款机房动环监控系统。Huawei P7、P8青春版和P9 Plus都是智能手机设备。上周，上述产品被披露存在多个漏洞，攻击者可利用漏洞提升权限或执行任意命令或发起拒绝服务攻击等。CNVD收录的相关漏洞包括：Huawei HedExLite DLL劫持漏洞、Huawei HedEx Lite跨站脚本漏洞、Huawei HedExLite跨站请求伪造漏洞、Huawei HedEx Lite任意文件下载漏洞、Huawei ManagerNetEco命令注入漏洞、Huawei P7 GPU驱动程序权限提升漏洞、Huawei P7和P8青春版拒绝服务漏洞、Huawei P9 Plus内存错误引用漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了上述漏洞的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　WordPress产品安全漏洞

　　WordPress是WordPress软件基金会的一套使用PHP语言开发的博客平台。上周，该产品被披露存在权限提升、文件上传和SQL注入漏洞，攻击者可利用漏洞提升权限、上传任意文件和泄露数据库敏感信息等。CNVD收录的相关漏洞包括：WordPress BulkDelete插件权限提升漏洞、WordPress console contact form插件文件上传漏洞、WordPressHuge-IT Video Gallery插件SQL注入漏洞、WordPress OcimMP3插件SQL注入漏洞、Wordpress Themes Purevision任意文件上传漏洞、WordpressThemes rehber文件上传漏洞、Wordpress插件dopts文件上传漏洞、WordPress插件Huge-IT VideoGallery SQL注入漏洞。上述漏洞的综合评级为“高危”。目前，厂商已经发布了“WordPress Huge-IT VideoGallery插件SQL注入漏洞、WordPress插件Huge-IT Video Gallery SQL注入漏洞、WordPress BulkDelete插件权限提升漏洞”的修补程序。CNVD提醒用户及时下载补丁更新，避免引发漏洞相关的网络安全事件。

　　Fastspot BigTree CMS任意代码执行漏洞

　　Fastspot BigTree CMS是美国Fastspot公司的一套基于PHP和MySQL的开源内容管理系统。上周，Fastspot被披露存在任意代码执行漏洞，攻击者可利用漏洞执行任意代码。目前，互联网上已经出现了针对该漏洞的攻击代码，厂商尚未发布漏洞修补程序。CNVD提醒广大用户随时关注厂商主页，以获取最新版本。

　　小结

　　上周，Foscam被披露存在多个漏洞，攻击者可利用漏洞泄露敏感信息和执行任意命令等。此外，Google、Huawei、Wordpress等多款产品被披露存在多个漏洞，攻击者利用漏洞可执行任意代码、上传任意文件、提升权限或发起拒绝服务攻击等。另外，Fastspot被披露存在任意代码执行漏洞，攻击者可利用漏洞执行任意代码。建议相关用户随时关注上述厂商主页，及时获取修复补丁或解决方案。

　　银行信息港综合FreebuF.COM、安全客报道