據(jù)統(tǒng)計(jì)，2018年各個(gè)漏洞庫(kù)的漏洞數(shù)量均呈增長(zhǎng)趨勢(shì)，比之前一年，國(guó)家信息安全漏洞庫(kù)(CNNVD)年增長(zhǎng)率約為19.6%，美國(guó)國(guó)家漏洞庫(kù)(NVD)年增長(zhǎng)率約為0.4%，公共漏洞披露平臺(tái)(CVE)年增長(zhǎng)率約為12.08%。
2018影響較大和較為特殊的漏洞事件
2018.1
谷歌“Project Zero”團(tuán)隊(duì)和多國(guó)研究人員共同發(fā)布的漏洞披露報(bào)告稱，英特爾的x86 64位處理器有一個(gè)存在已久“根本性的設(shè)計(jì)缺陷”，這個(gè)芯片級(jí)安全漏洞出現(xiàn)，可能導(dǎo)致 Linux 和 Windows 內(nèi)核關(guān)鍵部分需要重新設(shè)計(jì)。近10年來(lái)搭載英特爾處理器的Windows、Mac 與Linux 電腦均可能受到這個(gè)設(shè)計(jì)瑕疵影響。
據(jù)網(wǎng)絡(luò)安全研究人員Dhiraj Mishra稱，三星手機(jī)瀏覽器存在一個(gè)高危漏洞，該漏洞被標(biāo)識(shí)為CNNVD-201712-721（CVE-2017-17692），它允許攻擊者在受害者訪問(wèn)惡意網(wǎng)站后竊取密碼或cookie會(huì)話等重要信息。隨后三星公司方面承認(rèn)了漏洞的存在。
據(jù)外媒報(bào)道，印度安全研究人員發(fā)現(xiàn) phpMyAdmin 存在一個(gè)嚴(yán)重的 CSRF 安全漏洞。該漏洞是通過(guò)欺騙管理員點(diǎn)擊鏈接來(lái)執(zhí)行危險(xiǎn)的數(shù)據(jù)庫(kù)操作，如刪除記錄、刪除/截?cái)啾淼?。Barot 稱 phpMyAdmin 4.7.7 之前的版本都受到該漏洞的影響，并且可能會(huì)泄露敏感數(shù)據(jù)。
Meltdown和Spectre漏洞，幾乎席卷了整個(gè)計(jì)算機(jī)行業(yè)。電腦芯片安全漏洞曝光似乎讓CPU廠商陷入一場(chǎng)突如其來(lái)的危機(jī)，多家公司的大多數(shù)現(xiàn)代芯片都未能幸免。
2018.2
據(jù)報(bào)道，流行軟件構(gòu)建框架 Electron 中存在一個(gè)嚴(yán)重的遠(yuǎn)程代碼執(zhí)行（ RCE ）漏洞（CVE-2018-1000006），可能會(huì)影響大量熱門(mén)桌面應(yīng)用程序（如Skype，Signal，Slack，GitHub Desktop等）。 Electron表示目前只有Windows的應(yīng)用程序會(huì)受到漏洞影響。
在PoC代碼發(fā)布后不久，研究人員們就在發(fā)現(xiàn)了上百種與之相關(guān)的惡意軟件。Fortinet 公司發(fā)布的報(bào)告顯示，大多數(shù)此類樣本當(dāng)中都直接包含PoC代碼或者其變種。
據(jù)研究人員介紹，CODESYS WebVisu 產(chǎn)品組件中發(fā)現(xiàn)了一個(gè)基于堆棧的緩沖區(qū)溢出漏洞，攻擊者可通過(guò)遠(yuǎn)程觸發(fā)該漏洞來(lái)引發(fā)拒絕服務(wù)( DoS )，并且某些情況下實(shí)現(xiàn)在 Web 服務(wù)器上執(zhí)行任意代碼。這一漏洞會(huì)導(dǎo)致大量ICS產(chǎn)品受到影響，可能會(huì)對(duì)關(guān)鍵基礎(chǔ)設(shè)施構(gòu)成嚴(yán)重威脅。
2018.3
以色列硬件安全公司CTS Labs發(fā)布白皮書(shū)，指出AMD Zen CPU架構(gòu)存在四類多達(dá)12個(gè)以上的安全漏洞。這些漏洞有可能讓攻擊者繞過(guò)防止篡改計(jì)算機(jī)操作系統(tǒng)的安全防范措施，并且植入無(wú)法檢測(cè)或刪除的惡意軟件。值得注意的是，CTS Labs只給了AMD 24小時(shí)的時(shí)間，就公布了漏洞細(xì)節(jié)。
Paypal出現(xiàn)漏洞，該漏洞可通過(guò)列舉的方式獲取付款信息披露任何給定PayPal賬戶的賬戶余額和近期交易數(shù)據(jù)
據(jù)聞，知名品牌Nike其下的一個(gè)網(wǎng)站存在漏洞，該漏洞允許攻擊者使用代碼來(lái)讀取服務(wù)器數(shù)據(jù)，從而獲得多的訪問(wèn)權(quán)限，甚至可能黑入該公司系統(tǒng)造成更嚴(yán)重的后果。
2018.4
美國(guó)食品與藥物管理局在全球范圍內(nèi)督促，使用了 Abbot Laboratories 心臟植入設(shè)備的患者，盡快前往附近的醫(yī)療中心進(jìn)行固件升級(jí)。一個(gè)固件漏洞允許攻擊者向患者的設(shè)備發(fā)送遠(yuǎn)程指令，造成潛在的電量加速流失隱患。
思科IOS/IOS XE 中的智能安裝客戶端（Smart Install Client）代碼中被發(fā)現(xiàn)堆棧緩沖區(qū)溢出漏洞（CVE-2018-0171），通過(guò)此漏洞無(wú)需身份驗(yàn)證即可遠(yuǎn)程執(zhí)行任意代碼，實(shí)現(xiàn)對(duì)該設(shè)備的完全控制。
2018.5
阿姆斯特丹自由大學(xué)研究人員發(fā)現(xiàn)同時(shí)改變RAM內(nèi)存中的3個(gè)比特，就不會(huì)觸發(fā)阻止Rowhammer式攻擊的ECC校正機(jī)制。于是攻擊者可進(jìn)行篡改數(shù)據(jù)，注入惡意代碼和命令，更改訪問(wèn)權(quán)限等操作，以竊取密碼、密鑰和其他秘密信息。
360通告，發(fā)現(xiàn)區(qū)塊鏈平臺(tái)EOS的一系列高危安全漏洞，可通過(guò)遠(yuǎn)程攻擊，直接控制和接管EOS上運(yùn)行的所有節(jié)點(diǎn)。
2018.7
加州大學(xué)研究人員發(fā)現(xiàn)，用前視紅外(FLIR)熱成像攝像頭掃描計(jì)算機(jī)鍵盤(pán)，在口令首字符被敲下的30秒之內(nèi)便可以恢復(fù)出用戶敲擊的口令。
來(lái)自以色列理工學(xué)院的研究人員發(fā)現(xiàn)一個(gè)高危藍(lán)牙漏洞（CVE-2018-5383），可進(jìn)行攔截、監(jiān)控或篡改設(shè)備的網(wǎng)絡(luò)數(shù)據(jù)。漏洞影響蘋(píng)果、博通、英特爾、高通等多家硬件供應(yīng)商的相關(guān)產(chǎn)品。
物聯(lián)網(wǎng)安全公司Armis發(fā)布的研究報(bào)告顯示，包括網(wǎng)絡(luò)電話、打印機(jī)、交換機(jī)、路由器等近5億臺(tái)企業(yè)設(shè)備，面臨DNS重綁定的攻擊風(fēng)險(xiǎn)。
2018.8
安全研究人員發(fā)現(xiàn)了影響英特爾處理器的“Foreshadow”漏洞，攻擊者能夠繞過(guò)英特爾內(nèi)置的芯片安全特性，獲得存儲(chǔ)在“安全封鎖區(qū)域”的敏感數(shù)據(jù)。
研究人員發(fā)現(xiàn)某醫(yī)療科技公司的心臟起搏器與胰島素泵存在安全漏洞。利用漏洞可以控制發(fā)送到心臟的電脈沖，可能導(dǎo)致患者受傷甚至死亡。
2018.9
趨勢(shì)科技發(fā)布的調(diào)查報(bào)告顯示，數(shù)據(jù)采集與監(jiān)控系統(tǒng)（SCADA）系統(tǒng)2018年上半年的漏洞幾近于2017年上半年的兩倍。
2018.10月
安全研究機(jī)構(gòu)Ponemon發(fā)布的《2018年端點(diǎn)安全風(fēng)險(xiǎn)狀態(tài)報(bào)告》顯示，針對(duì)端點(diǎn)的攻擊手段，無(wú)文件攻擊將占到35%，主要包括利用的宏、腳本引擎、內(nèi)存、命令執(zhí)行等系統(tǒng)內(nèi)置功能。
加州大學(xué)研究人員公布了3個(gè)邊信道漏洞利用，這些漏洞利用可從GPU抽取敏感數(shù)據(jù)，而且相比CPU邊信道攻擊，操作更為簡(jiǎn)單。個(gè)人用戶和高性能計(jì)算系統(tǒng)均面臨潛在風(fēng)險(xiǎn)。
2018.11
物聯(lián)網(wǎng)安全公司Armis發(fā)現(xiàn)德州儀器制造的低功耗藍(lán)牙(BLE)芯片存在漏洞，全球數(shù)百萬(wàn)思科和惠普生產(chǎn)的聯(lián)網(wǎng)接入設(shè)備面臨遠(yuǎn)程攻擊風(fēng)險(xiǎn)。
俄羅斯安全研究人員公開(kāi)披露了Oracle虛擬機(jī)中的一個(gè)零日漏洞(VirtualBox E1000 Guest-to-Host Escape)。攻擊者可以利用該漏洞逃逸出客戶計(jì)算機(jī)虛擬環(huán)境。
芬蘭兩所大學(xué)的研究人員發(fā)現(xiàn)名為“PortSmash”(CVE-2018-5407)的漏洞。攻擊者可以從計(jì)算機(jī)的內(nèi)存或處理器中提取敏感數(shù)據(jù)，如加密密鑰。該漏洞影響所有依賴同步多線程(SMT)架構(gòu)的CPU，包括Intel的超線程(HT)架構(gòu)。
手機(jī)App安全公司Privacy4Cars披露了名為CarsBlues的汽車藍(lán)牙漏洞。黑客可通過(guò)藍(lán)牙獲得車主手機(jī)信息并進(jìn)入車載娛樂(lè)系統(tǒng)獲得權(quán)限，推測(cè)全球數(shù)千萬(wàn)輛汽車可能受到影響。
荷蘭拉德堡德大學(xué)研究人員發(fā)現(xiàn)，固態(tài)硬盤(pán)流行加密軟件Bitlocker存在重大漏洞。通過(guò)調(diào)試端口對(duì)其重編程，就可以重設(shè)任意口令，解密數(shù)據(jù)。
國(guó)內(nèi)首個(gè)專注于重大漏洞的黑客破解比賽，“天府杯”P(pán)WN舉行。參賽選手成功利用30個(gè)漏洞，攻破了Microsoft Edge/Chrome/Safari/macOS/VMware/Oracle VB/Adobe Reader/Microsoft Office等主流操作系統(tǒng)、瀏覽器和應(yīng)用軟件，以及包括iPhone X和3款國(guó)內(nèi)流行智能手機(jī)，獎(jiǎng)金總額達(dá)102.4萬(wàn)美元。
軟件風(fēng)險(xiǎn)評(píng)估與管理公司Checkmarx的研究人員發(fā)現(xiàn)，可通過(guò)手機(jī)應(yīng)用嗅探設(shè)備間通信，控制智能燈泡的燈光顏色來(lái)滲漏數(shù)據(jù)。
2018.12
安全公司 Check Point 使用流行的Windows模糊測(cè)試框架進(jìn)行漏洞測(cè)試，僅50天的時(shí)間里，就在 Adobe Reader 中找出53個(gè)CVE漏洞。
美國(guó)國(guó)防部監(jiān)察長(zhǎng)報(bào)告稱，美國(guó)彈道導(dǎo)彈防御系統(tǒng)(BMDS)的網(wǎng)絡(luò)安全操作存在“系統(tǒng)性漏洞”，網(wǎng)絡(luò)安全操作存在嚴(yán)重缺陷。包括不鎖服務(wù)器機(jī)架、缺乏加密、沒(méi)有持續(xù)身份驗(yàn)證、打補(bǔ)丁、數(shù)據(jù)監(jiān)控保護(hù)等.
2018年漏洞事件特點(diǎn)：
與上一年的漏洞數(shù)量激升相比，2018年的漏洞通告增速放緩。導(dǎo)致這個(gè)情況的主要原因應(yīng)該在于漏洞報(bào)告和以往想比更為分散化，大量漏洞并未得到官方收錄，各國(guó)對(duì)于漏洞披露的政策也越來(lái)越保守化。
底層硬件漏洞、邊信道和無(wú)文件等攻擊手段越來(lái)越受到關(guān)注，各種針對(duì)性的攻擊方法相繼出現(xiàn)（芯片、內(nèi)存、硬盤(pán)、協(xié)議級(jí)別等）。
各種智能聯(lián)網(wǎng)設(shè)備、工業(yè)聯(lián)網(wǎng)系統(tǒng)的漏洞明顯增多。主要原因在于全球智能化發(fā)展的浪潮爆發(fā)，制造商們對(duì)安全的忽視，和嵌入式系統(tǒng)難以更新等問(wèn)題。
業(yè)界積極重視漏洞已為常態(tài)。不論是國(guó)家監(jiān)管、互聯(lián)網(wǎng)企業(yè)，還是軟件廠商、科技公司，普遍都加強(qiáng)了對(duì)漏洞的監(jiān)管、發(fā)現(xiàn)、通告和修補(bǔ)。漏洞相關(guān)的政策、標(biāo)準(zhǔn)和技術(shù)，也越來(lái)越規(guī)范化，體系化。
喜歡小編的可以點(diǎn)擊關(guān)注喲~~~
