【安全公告】远程桌面服务远程执行代码漏洞(CVE-2019-0708)

     微软官方发布紧急安全补丁,修复了 Windows 远程桌面服务的远程代码执行高危漏洞 CVE-2019-0708,该漏洞被称为“永恒之蓝”级别的漏洞,只要开启Windows远程桌面服务(RDP服务)即可被攻击。

漏洞描述:
     远程桌面协议(RDP)远程代码执行漏洞。未经身份验证的攻击者利用该漏洞,向目标Windows主机发送恶意构造请求,可以在目标系统上执行任意代码。由于该漏洞存在于RDP协议的预身份验证阶段,因此漏洞利用无需进行用户交互操作。该漏洞存在被不法分子利用进行蠕虫攻击的可能。

漏洞评级:
CVE-2019-0708   【高危】

影响范围:
Windows 7 for 32-bit Systems Service Pack 1
Windows 7 for x64-based Systems Service Pack 1
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for Itanium-Based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 R2 for Itanium-Based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows XP SP3 x86
Windows XP Professional x64 Edition SP2
Windows XP Embedded SP3 x86
Windows Server 2003 SP2 x86
Windows Server 2003 x64 Edition SP2
Windows 8和Windows 10及之后版本的用户不受此漏洞影响。

判断是否已经被入侵:
1. Win+R 快捷键运行 eventvwr.exe 然后回车。
2. 查看windows日志–>安全:浏览日志产生时间,观察是否存在大量或者非法的与登录相关的事件,如果已经被入侵,则系统可能遭到破坏被装上木马,建议重装系统。

检测以及修复漏洞:
可以选用360一键检测修复工具:
A.下载并打开360一键检测修复工具:
http://dl.360safe.com/leakfixer/360SysVulTerminator.exe
B.离线安装补丁:
操作系统版本及补丁下载链接:
Windows 7 x86:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x86_6f1319c32d5bc4caf2058ae8ff40789ab10bf41b.msu
Windows 7 x64:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49b58cb.msu
Windows Embedded Standard 7 for x64:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49b58cb.msu
Windows Embedded Standard 7 for x86:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x86_6f1319c32d5bc4caf2058ae8ff40789ab10bf41b.msu
Windows Server 2008 x64:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x86_6f1319c32d5bc4caf2058ae8ff40789ab10bf41b.msu
Windows Server 2008 Itanium:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499180-ia64_805e448d48ab8b1401377ab9845f39e1cae836d4.msu
Windows Server 2008 x86:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.0-kb4499149-x86_832cf179b302b861c83f2a92acc5e2a152405377.msu
Windows Server 2008 R2 Itanium:
http://download.windowsupdate.com/c/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-ia64_fabc8e54caa0d31a5abe8a0b347ab4a77aa98c36.msu
Windows Server 2008 R2 x64:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05/windows6.1-kb4499175-x64_3704acfff45ddf163d8049683d5a3b75e49b58cb.msu
Windows Server 2003 x86:
http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x86-custom-chs_4892823f525d9d532ed3ae36fc440338d2b46a72.exe
Windows Server 2003 x64:
http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x64-custom-chs_f2f949a9a764ff93ea13095a0aca1fc507320d3c.exe
Windows XP SP3:
http://download.windowsupdate.com/c/csa/csa/secu/2019/04/windowsxp-kb4500331-x86-custom-chs_718543e86e06b08b568826ac13c05f967392238c.exe
Windows XP SP2 for x64:
http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsserver2003-kb4500331-x64-custom-enu_e2fd240c402134839cfa22227b11a5ec80ddafcf.exe
Windows XP SP3 for XPe:
http://download.windowsupdate.com/d/csa/csa/secu/2019/04/windowsxp-kb4500331-x86-embedded-custom-chs_96da48aaa9d9bcfe6cd820f239db2fe96500bfae.exe
WES09 and POSReady 2009:
http://download.windowsupdate.com/d/msdownload/update/software/secu/2019/04/windowsxp-kb4500331-x86-embedded-chs_e3fceca22313ca5cdda811f49a606a6632b51c1c.exe

参考资料:
https://cert.360.cn/warning/detail?id=0f64023e053a5753816ac129b5362607

青云QingCloud安全监控中心

【安全公告】腾讯 Blade Team 发现云虚拟化平台 QEMU-KVM 逃逸漏洞

     近期,腾讯 Blade Team 团队在针对云上虚拟化安全研究中,发现了主流虚拟化平台 QEMU-KVM 的严重漏洞,攻击者利用该漏洞在一定条件下可通过子机使母机崩溃,导致拒绝服务,甚至完全控制母机和母机上其他商户虚拟机。

漏洞描述:

       虚拟化平台 QEMU-KVM 的 vhost 内核模块存在一个缓冲区溢出漏洞,可在虚拟机热迁移场景下触发。攻击者可通过漏洞实现虚拟机逃逸攻击,操纵子机使母机内核崩溃或在物理机内核中执行恶意代码,进而完全控制母机,进而影响服务器上所有商户的业务。

漏洞评级:

CVE-2019-14835 高危

应对措施:

青云QingCloud 安全监控中心在获悉该漏洞详情后,第一时间进行热补丁修复。因此用户不受该漏洞影响,请放心使用。

 

相关链接:

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-14835

 青云QingCloud安全监控中心

【漏洞预警】Confluence 远程命令执行高危漏洞通告

     近期青云QingCloud安全监控中心接到用户反馈, 说明服务器可能被攻击,经过与用户沟通排查,发现和 Confluence 的一个已知漏洞相关。 Confluence Server 与 Confluence Data Center 中, Widget Connector 存在服务端模板注入漏洞,攻击者能利用此漏洞能够实现目录穿越,遍历甚至远程命令执行。

漏洞描述:
       Confluence Server 与 Confluence Data Center 中的 Widget Connector 存在服务端模板注入漏洞,攻击者构造特定请求可远程遍历服务器任意文件,甚至实现远程命令执行攻击。近期有安全研究人员披露漏洞利用PoC,强烈提醒请尽快升级相关软件。

漏洞评级:
CVE-2019-3395 严重
CVE-2019-3396 严重

影响软件:
Confluence Server
Confluence Data Center

安全版本:
6.6.x 系列:6.6.12 及以上
6.12.x系列:6.12.3 及以上
6.13.x系列:6.13.3 及以上
6.14.x系列:6.14.2 及以上

安全建议:
以下任选一种皆可修复漏洞。
1、升级至安全版本。下载链接:
https://www.atlassian.com/software/confluence/download/
https://atlassian.com/software/confluence/download/data-center

2、升级Widget Connector 组件。
Linux系统运行如下命令查找widgetconnector-*.jar文件所在位置:
find / -name “widgetconnector-*”
下载最新版本的widgetconnector-3.1.4.jar替换,并重启Confluence应用

相关链接:
https://confluence.atlassian.com/doc/confluence-security-advisory-2019-03-20-966660264.html

如您有任何需求与建议,可通过工单或客服电话 400-8576-886随时与我们联系。

青云QingCloud安全监控中心

【安全公告】Linux 内核 TCP SACK 漏洞风险通告

近日,业内发布安全公告,Linux 内核在处理 TCP SACK(Selective Acknowledgement)时存在三个漏洞(CVE-2019-11477、CVE-2019-11478、CVE-2019-11479),攻击者可通过该漏洞远程发送攻击包造成拒绝服务攻击,影响程度严重。

影响范围:
该漏洞目前已知影响使用 Linux 内核 2.6.29 及以上版本的发行版,包括(但不限于)如下系统:
CentOS 5/CentOS 6/CentOS 7
Ubuntu 16.04 LTS/Ubuntu 18.04 LTS
Debian jessie/stretch/buster

修复办法:
1. 禁用 TCP SACK 及 mtu_probing 机制功能,执行如下命令:
echo 0 > /proc/sys/net/ipv4/tcp_sack
sysctl -w net.ipv4.tcp_sack=0
echo 0 > /proc/sys/net/ipv4/tcp_mtu_probing
sysctl net.ipv4.tcp_mtu_probing
iptables -A INPUT -p tcp -m tcpmss –mss 1:500 -j DROP

2. 升级 Linux 安全补丁(需要重启服务器)
Centos:yum update kernel
Ubuntu:apt-get update && sudo apt-get install linux-image-generic

注意:
以上修复方式,请在操作前评估对业务可用性的影响

参考资料:
[Netflix 通告] (https://github.com/Netflix/security-bulletins/blob/master/advisories/third-party/2019-001.md)
[RedHat 通告] (https://access.redhat.com/security/vulnerabilities/tcpsack)
[Canonical 通告] (https://wiki.ubuntu.com/SecurityTeam/KnowledgeBase/SACKPanic)

【安全公告】Windows 远程桌面服务(RDP)漏洞风险通告

近日,微软官方发布安全补丁,修复了 Windows 远程桌面服务(RDP)的远程代码执行漏洞 CVE-2019-0708,此漏洞是预身份验证且无需用户交互(无需验证系统账户密码)下即可远程触发,这就意味着这个漏洞可以通过网络蠕虫的方式被利用,影响极大。

影响范围:
该漏洞影响了如下 Windows Server 系统:
Windows Server 2008 R2
Windows Server 2008
Windows Server 2003

注意事项:
1. 请勿在公网开放 Windows 远程桌面服务(RDP),即 3389 端口。如必须开放,请升级之后再开放,并增加必要的防火墙安全策略。
2. 青云会定期给客户发送高危端口开放的风险提示,请大家关注并根据邮件指引采取相应措施。

修复办法:
微软官方已经推出安全更新请参考以下官方安全通告下载并安装最新补丁:
https://support.microsoft.com/zh-cn/help/4500705/customer-guidance-for-cve-2019-0708
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708

参考资料:
[CVE-2019-0708]
(https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-0708)

针对近期爆出 runc 容器逃逸漏洞的安全警示及防范建议

尊敬的用户:

针对近期暴露的 runc 容器逃逸漏洞,青云 QingCloud 一直在密切观察和研究,同时与您同步以下信息并期望获得您的重视:

什么是 runc

Runc 是一个根据 OCI (Open Container Initiative) 标准构建的并运行容器的底层工具,诸如 Docker,Containerd 以及 CRI-O 都以其为底层核心去处理数据的格式化和序列化。而 Kubernetes 作为容器调度管理平台基于这些容器运行环境,也受到了此漏洞的影响。

此漏洞(CVE-2019-5736)可能会造成的影响

引自 runc 团队的 Aleksa Sarai 的解释(翻译稿):“此项安全漏洞允许恶意容器(在最低用户交互等级下)覆盖主机 runc 二进制文件,这意味着攻击者将借此获得在主机上以 root 层级执行代码的权限。”

“具体来讲,攻击者能够利用一套其可以控制的镜像创建新的容器,或者是向其能够访问的现有容器之内添加 docker exec 文件。在这类情况下的任意容器当中,该攻击者都将能够通过当前用户交互等级以 root 权限运行任意命令(无论命令本身是否由攻击者所控制)。”

 

降低风险以及规避漏洞的建议

  • 严格控制集群的外网访问权限
  • 不下载和运行来历不明的容器镜像
  • 以 non-0 方式运行容器镜像(在 securityContext 中配置 runAsUser)
    apiVersion: v1
    kind: Pod
    metadata:
      name: run-as-uid-1000
    spec:
      securityContext:
        runAsUser: 1000
      # ...
  • 升级 docker 或者 runc
    升级 Docker 至 18.06.2,可参考官方文档(注意:此版本仅兼容 4.x 内核,请谨慎升级)
    runc 升级参考:
    1. 定位 runc 的执行文件位置:

    which docker-runc

    2. 备份此文件:

    mv /usr/bin/docker-runc /usr/bin/docker-runc.bak.$(date -Iseconds)

    3. 获取对应 OS 和 docker 版本的 runc 执行文件,并复制到相应目录:

    cp runc-v18.06.1-amd64 /usr/bin/docker-runc

    4. 确保 docker-runc 具有可执行权限:

    chmod +x /usr/bin/docker-runc

    5. 验证其能否正常工作:

    docker-runc -v
    docker run -it --rm ubuntu echo OK

在以上配置升级过程中碰到任何问题,您可联系青云客服获取我们的支持。

青云 QingCloud 平台可能受影响的服务及产品

公有云容器服务:Kubernetes On QingCloud

容器产品:KubeSphere

我们容器团队会在近期发布 Kubernetes On QingCloud 以及 KubeSphere 的升级版本进行漏洞修复。

关于公网开放高危端口的风险通告

尊敬的用户:

近期,我们发现有用户因为公网开放了高危端口,导致被不法分子入侵,使得用户的业务和数据受损。请您务必对防火墙进行排查,关闭对应的高危端口。需要开放访问的高危端口建议通过 VPN/IPSec 等隧道方式进行访问。对于必须在公网上直接开放的端口,建议在防火墙加入 IP 白名单保护,同时配置必要的安全策略。

以下为常见的高危端口,供参考:

TCP 端口:
SSH:22
Windows:3389
MySQL:3306
PostgreSQL:5432
MongoDB:27017
ElasticSearch:9200/9300
Redis:6379
Zookeeper:2181
Kafka:9092
Hadoop:50070/8088
Spark:8080
HBase:60010
Hive:10000

UDP 端口:
11211,123,1900,53,161,389,19,137

以下为参考链接:

https://docs.qingcloud.com/product/faq/index.html#如何使用-ssh-密钥来访问主机
https://docs.qingcloud.com/product/security/security_group
https://docs.qingcloud.com/product/network/vpn

有任何需求与建议,请您随时发送工单与我们沟通。

【安全提示】关于对象存储 Bucket 权限设置的安全提示

尊敬的用户:

今天某云计算企业用户被披露因误操作将存储有保密信息的对象存储 Bucket 设置为公众可访问权限,导致保密数据遭泄露。

默认情况下,QingCloud 对象存储服务的 Bucket 权限都是私有的,不会存在类似安全风险。但为避免配置有误,可能遭受类似损失,我们建议您对在 QingCloud 对象存储服务上创建的 Bucket 进行权限检查。如果您的保密数据所在 Bucket 权限为对所有用户可读、可写或可读写状态,建议您确认是否为误操作。如非必要公开,我们建议您将权限修改为私有,防止通过该途径造成数据泄露。

具体操作如下:

1、在控制台左侧导航栏选择对象存储服务,查看你所创建的 Bucket 权限:

2、点击您所创建的 Bucket名称 ,进入设置选项卡,选择访问控制,修改用户权限:

以上信息,请您了解。

青云QingCloud

【安全公告】Memcached 反射攻击安全风险公告

尊敬的用户:

近日利用 Memcached 服务器实施反射型 DDoS 攻击的事件逐渐上升,如果用户的 Memcached 对公网提供服务且开放了 UDP 11211 端口,在没有做安全控制措施的情况下,可能被黑客利用向受害者发送 DDoS 攻击。

青云提供的 Memcached 服务是运行在私有网络中的,默认不向公网开放,不会受到影响,可放心使用。

受影响范围:
用户自建了 Memcached 并对公网提供服务且开放了 UDP 11211 端口。

排查方法:
1. 是否有自建 Memcached 服务。
2. Memcached 服务是否监听了 UDP 11211 端口并通过公网开放。
3. 通过服务器的公网 IP 发送 “echo -en “\x00\x00\x00\x00\x00\x01\x00\x00stats\r\n” | nc -u ip 11211″ 指令,有返回则可能受影响。

修复办法:
1. 修改 Memcached 的配置文件,将 UDP 监听端口改为非 11211 端口。
2. 将 Memcached 部署在 VPC 内部使用,不对公网开放 UDP 11211 端口。
3. 对 Memcached 进行安全加固,启用登录认证等安全功能。

如需其他帮忙,请通过工单与我们联系。

参考资料:
【预警通告】[Memcached DRDos 攻击预警]

【安全公告】关于 Intel CPU 芯片漏洞的安全通告更新

尊敬的用户:

对于近期爆出的 Intel CPU 芯片漏洞的安全问题,青云QingCloud 一直在密切观察和研究,并和 Intel 保持沟通。根据目前最新确认的信息,该漏洞一共有三种利用方式:

1) bounds check bypass [CVE-2017-5753](https://spectreattack.com/spectre.pdf)

2) branch target injection [CVE-2017-5715](https://spectreattack.com/spectre.pdf)

3) rogue data cache load [CVE-2017-5754](https://meltdownattack.com/meltdown.pdf)

对于青云QingCloud 云平台而言,方式 1 和 3 已确定没有影响;方式 2 可能存在安全风险,但截止目前,还没有出现漏洞被利用的案例。针对该漏洞风险,我们已经制定了应对方案,并将于近期对云平台进行在线补丁修复。绝大部分用户对该修复操作将无任何感知,对于可能受到影响的极小部分用户,我们会另行通知。请您持续留意青云QingCloud 的官方通知。

对于用户的虚拟机而言,方式1/2/3都可能产生影响,原理上攻击者可利用漏洞越权获取本地信息。为彻底规避该风险,您需要对操作系统进行补丁更新来完成修复工作。但由于漏洞的利用难度较高,请您根据自身业务情况决定是否需要立即升级修复漏洞。待主流的操作系统厂商提供正式补丁之后,青云QingCloud 会第一时间提供最新的模板。

关于此次漏洞的修复进展,请留意青云QingCloud 的官方通知,我们会第一时间更新。有任何问题,请随时通过工单与我们联系。

青云QingCloud