【安全公告】关于 Intel CPU 芯片漏洞的安全通告

尊敬的用户

对于近期爆出的 Intel CPU 芯片漏洞的安全问题青云QingCloud 已经收到正式通知并正在采用各种积极措施确保用户不会受其影响。

因各云平台采用了不同的虚拟化技术该漏洞影响程度可能不同。根据目前可以确认的信息青云云平台暂未受到确定的影响也没有任何信息表明已有用户因此受到攻击威胁。我们仍在密切观察并与 Intel 保持持续沟通待有进一步信息确认我们会及时通知用户。请您留意青云QingCloud 的官方通知。

青云QingCloud

【安全公告】Linux 内核 “Phoenix Talon” 漏洞风险通告

近日,启明星辰 ADLab 发现了 Linux 内核存在远程漏洞 “Phoenix Talon”,涉及 CVE-2017-8890、CVE-2017-9075、CVE-2017-9076、CVE-2017-9077,可影响几乎所有 Linux kernel 2.5.69 ~ Linux kernel 4.11 的内核版本、对应的发行版本以及相关国产系统。请可能被漏洞影响的用户仔细阅读本文,并做相应的处理。

我们第一时间对漏洞进行了分析研究,这四个相关的 CVE 均为 double free 相关。因此如果触发了这些漏洞,最直接的结果是导致系统宕机。如果被黑客利用,可能会导致 DOS 攻击或其它未知风险。具体的触发条件整理如下:

触发条件:
1. CVE-2017-8890
当使用传输层 TCP 协议,并在服务端 socket 设置了 MCAST_JOIN_GROUP 选项时,可能会在 TCP 的连接处理中触发 double free。
2. CVE-2017-9075,CVE-2017-9076,CVE-2017-9077
当使用传输层 SCTP/DCCP 协议及网络层 IPv6 协议,可能会在连接处理中触发 double free。

注意事项:
1. 经过对漏洞的分析,除 CVE-2017-8890 以外,只要用户未使用传输层 SCTP/DCCP 及网络层 IPv6 协议即不会受到影响;而对于 CVE-2017-8890,只要服务程序在建立 socket 时未使用 MCAST_JOIN_GROUP 功能选项也不会受到影响。所以对于未满足以上条件的用户,大家可以放心使用。
2. 如果您的服务程序有使用 MCAST_JOIN_GROUP 功能选项,或者有使用传输层 SCTP/DCCP 协议及网络层 IPv6 协议,请更新最新内核版本或通过 livepatch 进行补丁操作。

Patch 链接:
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=657831ffc38e30092a2d5f03d385d710eb88b09a
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=fdcee2cbb8438702ea1b328fb6e0ac5e9a40c7f8
https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=83eaddab4378db256d00d295bda6ca997cd13a52

参考资料:
http://www.csdn.net/article/a/2017-06-16/15928962
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-8890
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9075
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9076
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-9077

【安全公告】Samba 远程命令执行漏洞风险通告

2017 年 5 月 24 日,Samba 官方发布了 4.6.4 版本,修复了一个严重的远程代码执行漏洞,漏洞编号为 CVE-2017-7494,漏洞影响了 Samba 3.5.0 之后到 4.6.4/4.5.10/4.4.14 中间的所有版本。该漏洞可能会影响开启了 Samba 服务的 Linux 主机,请可能被漏洞影响的用户仔细阅读本文,并做相应的处理。

漏洞利用条件:
1. 服务器打开了文件/打印机共享端口 445,让其能够在公网上访问
2. 共享文件拥有写入权限
3. 恶意攻击者需猜解 Samba 服务端共享目录的物理路径

注意事项:
1. 请检查青云的防火墙规则,如果打开了 445 等危险端口,建议关闭。其他危险端口参见 【安全公告】Windows 勒索软件病毒风险通告
2. 青云的防火墙在默认情况下不会开启这些有风险的端口。所以如果您没有变更过防火墙,请放心使用。

修复办法:
如果您启用了 Samba 服务,并开放了 445 端口,那么可以考虑通过以下办法修复:
1. 安装补丁或者升级到 Samba 4.6.4/4.5.10/4.4.14 任意版本。
2. 如果暂时不能升级版本或安装补丁,可以使用临时解决方案:在 smb.conf 的 [global] 节点下增加 “nt pipe support = no” 选项,然后重新启动 Samba 服务。

参考资料:
【漏洞预警】Samba远程代码执行漏洞,影响7年前版本
【高危预警】Samba远程代码执行漏洞(CVE-2017-7494)分析

【安全公告】Windows 勒索软件病毒风险通告

近期全球爆发了多起较大规模的 Windows 勒索软件病毒攻击事件众多 Windows 系统用户受到影响。

该勒索来自一款名为 “WannaCry” 的软件木马),通过 Windows 系统的 SMB 服务器漏洞进行入侵会导致磁盘文件被病毒加密对用户数据造成严重损失。请可能被漏洞影响的用户仔细阅读本文并做相应的处理。

注意事项

  1. 请检查青云的防火墙规则如果打开了 1351371381394453389 等危险端口建议关闭。
  2.  定期升级微软发布的安全补丁微软已经于 2017 3 14 日发布了 MS17-010安全补丁
  3. 如果必须打开 3389 端口建议仅在必须使用的时候打开其他时间请禁用。推荐您直接使用青云提供的 VNC 来访问此访问方式经过加密保证安全。
  4. 青云的防火墙在默认情况下不会开启这些有风险的端口。所以如果您没有变更过防火墙请放心使用。

参考资料

Microsoft 安全公告 MS17-010 – 严重
WannaCry ransomware used in widespread attacks all over the world
如何看待 5 12 号爆发在各高校的电脑勒索比特币的病毒

【安全公告】Windows 漏洞攻击风险通告

近日曝出一大批 Windows 远程漏洞利用工具被泄漏,会给使用 Windows 主机的用户造成极大的安全隐患。根据目前的情况,Windows Server 的所有版本都可能受到影响。请可能被漏洞影响的用户仔细阅读本文,并做相应的处理。

注意事项:
– 请检查青云的防火墙规则,如果打开了 137、139、445、3389 端口,建议关闭
– 如果必须打开 3389 端口,建议在需要使用的时候打开,其他时间请禁用。更推荐的方式是直接使用青云提供的 VNC 来访问,这个是加密并且是安全的
– 青云的防火墙,默认情况下不会开启这些有风险的端口。所以如果你没有变更过防火墙,那么就是安全的

参考资料:
https://zhuanlan.zhihu.com/p/26375989
https://www.theregister.co.uk/2017/04/14/latest_shadow_brokers_data_dump/
https://www.bleepingcomputer.com/news/security/shadow-brokers-release-new-files-revealing-windows-exploits-swift-attacks/

Apache Struts2 远程代码执行漏洞公告

近日,Apache Struts2 爆出远程代码执行漏洞 (CVE-2017-5638),该漏洞存在于 Apache Struts2 的 Jakarta Multipart parser 插件模块,攻击者可以在使用该插件上传文件时,修改 HTTP 请求头中的 Content-Type 值来触发该漏洞,导致远程执行代码。漏洞详情请参见:http://www.hack-cn.com/articles/40。请可能受影响的用户尽快升级处理。

影响范围:
Struts 2.3.5 – Struts 2.3.31
Struts 2.5 – Struts 2.5.10

检查方法:
http://0day.websaas.com.cn/

修复建议:
升级到 Struts 2.3.32 或 Struts 2.5.10.1

QingCloud 技术团队

Hadoop/HBase/Spark 入侵事件通告

继前一段时间曝出大规模利用 MongoDB 和 ElasticSearch 配置漏洞进行入侵的事件之后,下一个遭遇黑客锁定的目标将包括 Hadoop , 目前已出现灾情。该入侵会给用户的 Hadoop/HBase/Spark 等以 HDFS 为存储的数据造成安全风险,请可能被此安全隐患影响的用户仔细阅读本文,并做相应的处理。

容易遭受入侵的环境:

用户自建的未配置安全验证的 Hadoop/HBase/Spark 服务,并在公网上开放了三个产品都用到的 HDFS 端口如 50070 和 HBase 的Rest服务端口如 8000。或者通过端口转发,将青云 QingCloud 提供的 Hadoop/HBase/Spark 服务的端口通过路由器、VPC 转发,曝露到公网。

入侵现象:
  • Hadoop/HBase/Spark 数据被清空
  • 留信息勒索比特币
修复办法:
  • 禁止公网开放 Hadoop/HBase/Spark 端口,例如可以在青云 QingCloud 防火墙上禁用 Hadoop/HBase/Spark 的端口,例如 50070 和8000
  • 如果对 Hadoop/HBase/Spark  的端口在路由器、VPC 上进行了端口转发,请删除该转发规则
温馨提示:

青云 QingCloud 提供的 Hadoop/HBase/Spark 服务是运行在私有网络中的,如果用户没有主动设置端口转发将 Hadoop/HBase/Spark  端口在公网曝露,不会受到该安全隐患的影响,请用户放心使用。另外,对于从大数据 Client 客户端主机直接访问 Hadoop/HBase/Spark 集群的用户,也强烈建议将 Client 主机的访问方式由密码改为 SSH Key访问以杜绝其它安全漏洞。

另外,有任何其他问题可以工单与我们联系。

Elasticsearch 入侵事件通告

Elasticsearch 入侵事件通告

继前一段时间曝出大规模利用 MongoDB 配置漏洞进行入侵的事件之后,又曝出大规模利用 Elasticsearch 配置漏洞进行入侵的事件。会给用户的 Elasticsearch 数据造成安全风险,请可能被漏洞影响的用户仔细阅读本文,并做相应的处理。

容易遭受入侵的环境:
用户自建的未配置安全验证的 Elasticsearch 服务,并在公网上开放了 Elasticsearch 端口,例如 9200。或者通过端口转发,将青云提供的 Elasticsearch 服务的端口通过路由器、VPC转发,曝露到公网。

入侵现象:
  • Elasticsearch 数据被清空
  • 留信息勒索比特币
修复办法:
  • 禁止公网开放 Elasticsearch 端口,例如可以在青云防火墙上禁用 Elasticsearch 的端口,例如 9200
  • 如果对 Elasitcsearch 的端口在路由器、VPC 上进行了端口转发,请删除该转发规则
温馨提示:
青云提供的 Elasticsearch 服务是运行在私有网络中的,如果用户没有主动设置端口转发将 Elasticsearch 端口在公网曝露,不会受到该漏洞的影响,请用户放心使用。
另外,有任何其他问题可以工单与我们联系。

MongoDB 入侵事件通告

近日曝出大规模利用 MongoDB 配置漏洞进行入侵的事件,会给用户的 MongoDB 数据造成安全风险,请可能被漏洞影响的用户仔细阅读本文,并做相应的处理。

容易遭受入侵的环境:

用户自建的运行了未配置身份验证的 MongoDB 服务,并在公网上开放了 MongoDB 端口,例如 27017

入侵现象:

  • MongoDB 数据被清空
  • MongoDB 运行缓慢

修复办法:

  • 增加 MongoDB 密码验证,参考: https://docs.mongodb.com/manual/tutorial/enable-authentication/
  • 禁止公网开放 MongoDB 端口,例如可以在青云防火墙上禁用 MongoDB 的端口,例如 27017

温馨提示:

青云提供的 MongoDB 服务是运行在私有网络中的,并且已经考虑了安全加固措施,同时配置了身份验证,不会受到该漏洞的影响,请用户放心使用。

另外,有任何其他问题可以工单与我们联系。

【安全公告】Redis Crackit 入侵事件通告

近日曝出大规模利用 Redis 漏洞进行入侵的事件,会给用户的 Redis 运行环境以及 Linux 主机造成安全风险,请可能被漏洞影响的用户仔细阅读本文,并做相应的处理。

容易遭受入侵的环境:

用户自建的运行了 Redis 服务的 Linux 主机,并在公网上开放了 Redis 端口,例如 6379

入侵现象:

  • Redis 可能被执行过 flushall 命令
  • Redis 内建了名为 crackit 的 key
  • Redis 的 dir 参数指向了 /root/.ssh
  • /root/.ssh/authorized_keys 被覆盖或者包含 Redis 相关的内容

修复办法:

  • 以非 root 权限启动 Redis
  • 增加 Redis 密码验证
  • 禁止公网开放 Redis 端口, 例如可以在青云防火墙上禁用 Redis 的端口,例如 6379
  • 检查 authorized_keys 是否非法

温馨提示:

青云提供的 Redis 服务是运行在私有网络中的,并且已经考虑了安全加固措施,同时提供密钥验证的配置,不会受到该漏洞的影响,请用户放心使用。

关于入侵事件的更多详情还可以参见: https://nosec.org/bobao/redis_crackit

另外,有任何其他问题可以工单与我们联系。

QingCloud 技术团队