备案控制台
探索云世界
开发者社区 安全 文章 正文

绿盟科技网络安全威胁周报2017.20 关注Joomla!3.7.0 SQL注入漏洞CVE-2017-8917

2017-09-01 1968
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：

绿盟科技发布了本周安全通告，周报编号NSFOCUS-17-20，绿盟科技漏洞库本周新增36条，其中高危3条。本次周报建议大家关注 Joomla!3.7.0 SQL注入漏洞 。目前厂商已经发布了升级补丁以修复这个安全问题，请到用户及时到厂商主页下载升级补丁，修复此漏洞。

焦点漏洞

Joomla!3.7.0 SQL注入漏洞

  • NSFOCUS ID 36720
  • CVE ID CVE-2017-8917

受影响版本

  • Joomla! CMS versions 3.7.0

漏洞点评

Joomla是一套世界流行的内容管理系统。它使用的是PHP语言加上MySQL数据库所开发的软件系统，可以在Linux、 Windows、MacOSX等各种不同的平台上执行。Joomla! 3.7.0版本在com_fields组件中存在SQL注入漏洞，可使未经验证的攻击者通过直接访问受影响的网站，进行SQL注入攻击，获取密码哈希或者劫持用户会话，甚至全面控制该网站。目前厂商已经发布了升级补丁以修复这个安全问题，请到用户及时到厂商主页下载升级补丁，修复此漏洞。

（数据来源：绿盟科技安全研究部&产品规则组）

互联网安全态势

CVE统计

cve-2017191.png

备注：由于NIST改版，之后的漏洞统计将滞后一周，即第20周公布的是前19周的统计结果，以此类推

威胁信息回顾

  • 1、0-Day Flaws in Vanilla Forums Let Remote Attackers Hack Websites

    • 简介：A security researcher has publicly disclosed two critical zero-day vulnerabilities in Vanilla Forums, an open source software that powers discussion on over 500,000 websites, which could allow unauthenticated, remote attackers to fully compromise targeted websites easily.
    • 链接：http://thehackernews.com/2017/05/vanilla-forum-vulnerability.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29

  • 2、Breach at DocuSign Led to Targeted Email Malware Campaign

    • 简介：DocuSign, a major provider of electronic signature technology, acknowledged today that a series of recent malware phishing attacks targeting its customers and users was the result of a data breach at one of its computer systems. The company stresses that the data stolen was limited to customer and user email addresses, but the incident is especially dangerous because it allows attackers to target users who may already be expecting to click on links in emails from DocuSign.
    • 链接：https://krebsonsecurity.com/2017/05/breach-at-docusign-led-to-targeted-email-malware-campaign/

（数据来源：绿盟科技 威胁情报与网络安全实验室 收集整理）

绿盟科技漏洞研究

绿盟科技漏洞库新增36条

截止到2017年5月19日，绿盟科技漏洞库已收录总条目达到36733条。本周新增漏洞记录36条，其中高危漏洞数量3条，中危漏洞数量22条，低危漏洞数量11条。

vul-nsf-201720-1.png

vul-nsf-201720-2.png

  • Linux kernel ipxitf_ioctl函数拒绝服务漏洞(CVE-2017-7487)
    • 危险等级:低
    • cve编号:CVE-2017-7487
  • Linux kernel edge_bulk_in_callback函数拒绝服务漏洞(CVE-2017-8924)
    • 危险等级:低
    • cve编号:CVE-2017-8924
  • Linux kernel omninet_open函数拒绝服务漏洞(CVE-2017-8925)
    • 危险等级:低
    • cve编号:CVE-2017-8925
  • IBM QRadar 信息泄露漏洞(CVE-2016-9750)
    • 危险等级:中
    • cve编号:CVE-2016-9750
  • PHP zend_string_extend函数拒绝服务漏洞(CVE-2017-8923)
    • 危险等级:中
    • cve编号:CVE-2017-8923
  • Microsoft Chakra Core远程代码执行漏洞(CVE-2017-0223)
    • 危险等级:中
    • cve编号:CVE-2017-0223
  • Apple macOS Sierra IOGraphics 内存破坏漏洞(CVE-2017-2545)
    • 危险等级:中
    • cve编号:CVE-2017-2545
  • Cisco Snort++ Protocol Decoder信息泄露漏洞(CVE-2017-6658)
    • 危险等级:中
    • cve编号:CVE-2017-6658
  • Cisco Snort++ Protocol Decoder拒绝服务漏洞(CVE-2017-6657)
    • 危险等级:中
    • cve编号:CVE-2017-6657
  • Schneider Electric VAMPSET内存破坏漏洞(CVE-2017-7965)
    • 危险等级:低
    • cve编号:CVE-2017-7965
  • Schneider Electric SoMachine HVAC任意代码执行漏洞(CVE-2017-7966)
    • 危险等级:中
    • cve编号:CVE-2017-7966
  • Schneider Electric SoMachine HVAC 栈缓冲区溢出漏洞(CVE-2017-7965)
    • 危险等级:中
    • cve编号:CVE-2017-7965
  • McAfee Network Data Loss Prevention信息泄露漏洞(CVE-2017-4017)
    • 危险等级:中
    • cve编号:CVE-2017-4017
  • McAfee Network Data Loss Prevention跨站脚本漏洞(CVE-2017-4011)
    • 危险等级:中
    • cve编号:CVE-2017-4011
  • McAfee Network Data Loss Prevention权限提升漏洞(CVE-2017-4012)
    • 危险等级:中
    • cve编号:CVE-2017-4012
  • McAfee Network Data Loss Prevention信息泄露漏洞(CVE-2017-4013)
    • 危险等级:中
    • cve编号:CVE-2017-4013
  • McAfee Network Data Loss Prevention会话劫持漏洞(CVE-2017-4014)
    • 危险等级:中
    • cve编号:CVE-2017-4014
  • McAfee Network Data Loss Prevention单击劫持漏洞(CVE-2017-4015)
    • 危险等级:中
    • cve编号:CVE-2017-4015
  • McAfee Network Data Loss Prevention信息泄露漏洞(CVE-2017-4016)
    • 危险等级:中
    • cve编号:CVE-2017-4016
  • Cisco Prime Collaboration Provisioning身份验证绕过漏洞(CVE-2017-6622)
    • 危险等级:高
    • cve编号:CVE-2017-6622
  • Cisco Policy Suite权限提升漏洞(CVE-2017-6623)
    • 危险等级:中
    • cve编号:CVE-2017-6623
  • Cisco Prime Collaboration Provisioning信息泄露漏洞(CVE-2017-6621)
    • 危险等级:高
    • cve编号:CVE-2017-6621
  • Joomla! 3.7.0 SQL注入漏洞(CVE-2017-8917)
    • 危险等级:高
    • cve编号:CVE-2017-8917
  • Cisco TelePresence IX5000 Series目录遍历漏洞(CVE-2017-6652)
    • 危险等级:中
    • cve编号:CVE-2017-6652
  • Schneider Electric Wonderware InduSoft Web Studio权限提升漏洞(CVE-2017-7968)
    • 危险等级:中
    • cve编号:CVE-2017-7968
  • HPE Cloud Optimizer远程信息泄露漏洞(CVE-2017-8944)
    • 危险等级:中
    • cve编号:CVE-2017-8944
  • Cisco Remote Expert Manager虚拟目标信息泄露漏洞(CVE-2017-6643)
    • 危险等级:低
    • cve编号:CVE-2017-6643
  • Cisco Remote Expert Manager 信息泄露漏洞(CVE-2017-6642)
    • 危险等级:低
    • cve编号:CVE-2017-6642
  • Cisco Remote Expert Manager 拒绝服务漏洞(CVE-2017-6641)
    • 危险等级:中
    • cve编号:CVE-2017-6641
  • Cisco Remote Expert Manager 临时文件信息泄露漏洞(CVE-2017-6647)
    • 危险等级:低
    • cve编号:CVE-2017-6647
  • Cisco Remote Expert Manager信息泄露漏洞(CVE-2017-6646)
    • 危险等级:低
    • cve编号:CVE-2017-6646
  • Cisco Remote Expert Manager虚拟目标信息泄露漏洞(CVE-2017-6645)
    • 危险等级:低
    • cve编号:CVE-2017-6645
  • Cisco Remote Expert Manager信息泄露漏洞(CVE-2017-6644)
    • 危险等级:低
    • cve编号:CVE-2017-6644
  • Cisco Prime Collaboration Provisioning目录遍历任意文件删除漏洞(CVE-2017-6635)
    • 危险等级:中
    • cve编号:CVE-2017-6635
  • Cisco Prime Collaboration Provisioning目录遍历信息泄露漏洞(CVE-2017-6636)
    • 危险等级:低
    • cve编号:CVE-2017-6636
  • Cisco Prime Collaboration Provisioning目录遍历任意文件删除漏洞(CVE-2017-6637)
    • 危险等级:中
    • cve编号:CVE-2017-6637

（数据来源：绿盟科技安全研究部&产品规则组）


原文发布时间：2017年5月22日

本文由：绿盟科技 发布，版权归属于原作者

原文链接:http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-201720

本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站

文章标签：
安全
SQL
Linux
网络安全
关键词：
网络漏洞
网络安全漏洞
SQL注入
科技网络
SQL漏洞
晚来风急
目录
相关文章
muxiaoxi
|
6天前
|
安全 算法 网络协议
保障数据安全：网络安全漏洞与加密技术探析
网络安全漏洞的存在已成为当今互联网世界中的一大隐患，而加密技术的应用则被视为保障信息安全的有效手段。本文将就网络安全漏洞的成因、加密技术的原理以及提升安全意识的重要性进行探讨，旨在加深读者对网络安全与信息安全的认识，为构建更安全的网络环境贡献一份力量。
muxiaoxi
13 2
我不是游客20240119
|
11天前
|
监控 安全 算法
网络安全与信息安全：防范漏洞、强化加密、提升意识
【4月更文挑战第8天】在数字化时代，网络安全与信息安全已成为全球关注的焦点。本文将深入探讨网络安全中的漏洞问题、加密技术的发展以及安全意识的重要性。通过对这些关键领域的分析，旨在为读者提供全面的安全防护策略和实践建议，以应对日益复杂的网络威胁。
我不是游客20240119
15 1
mrq4nk6ni2neg
|
18天前
|
SQL 安全 网络安全
网络防线之盾：揭秘网络安全漏洞与防御技术
在数字化时代，网络安全成为守护信息完整性、保障用户隐私的关键。本文深入探讨了网络安全领域内常见的安全漏洞，分析了加密技术在数据保护中的作用，并强调了提升个人和企业安全意识的重要性。通过实例和案例分析，文章为读者提供了一道了解和应对网络威胁的窗口，同时指出了未来网络安全发展的趋势和挑战。
mrq4nk6ni2neg
15 2
mg的嘟嘟
|
20天前
|
安全 网络安全 数据安全/隐私保护
探究网络安全漏洞与加密技术：保护信息安全的关键
在当今数字化时代，网络安全漏洞已成为信息安全的重要挑战之一。本文将深入探讨网络安全漏洞、加密技术以及安全意识对于信息安全的重要性，旨在引起人们对网络安全问题的关注，提升信息安全意识。
mg的嘟嘟
11 3
muxiaoxi
|
21天前
|
存储 安全 网络安全
探究网络安全与信息安全：漏洞、加密与安全意识
在当今数字化时代，网络安全和信息安全日益受到重视。本文将深入探讨网络安全漏洞、加密技术以及安全意识等方面的知识，帮助读者更好地了解和应对网络安全挑战。通过分析现有漏洞、介绍加密技术原理以及强调安全意识的重要性，旨在提升读者对网络安全的认识和应对能力。
muxiaoxi
12 0
游客799
|
22天前
|
安全 网络安全 数据安全/隐私保护
网络安全与信息安全：防范漏洞、强化加密、提升意识
随着互联网的普及和技术的飞速发展，网络安全和信息安全问题日益凸显。本文将探讨网络安全漏洞的形成原因、加密技术的应用以及提升安全意识的重要性，以期为读者提供关于网络安全与信息安全的知识分享。
游客799
11 2
muxiaoxi
|
24天前
|
安全 网络安全 区块链
网络安全与信息安全：漏洞、加密技术与安全意识
在当今数字化时代，网络安全和信息安全已经成为人们关注的焦点。本文将深入探讨网络安全漏洞、加密技术以及安全意识等方面的知识，并提出相应的解决方案，以增强读者对网络安全和信息安全的认识。
muxiaoxi
8 0
xiejava
|
1月前
|
安全 网络协议 Unix
网络安全产品之认识安全隔离网闸
随着互联网的发展，网络攻击和病毒传播的方式越来越复杂，对网络安全的要求也越来越高。传统的防火墙设备在面对一些高级的网络攻击时，往往难以做到全面的防护，因此需要一种更加有效的网络安全设备来提高网络的安全性。此外，随着信息技术的不断发展，各个行业对信息系统的依赖程度也越来越高，一旦信息系统遭受攻击或入侵，可能会导致数据泄露、系统瘫痪等严重后果。因此，对于一些高安全级别的网络环境，如政府、军队、公安、银行等，需要一种更加可靠的安全设备来保证网络的安全性。在这样的背景下，安全隔离网闸作为一种新型的网络安全设备应运而生。本文让我们一起来认识安全隔离网闸。
xiejava
36 0
历年考试不作弊
|
27天前
|
存储 安全 网络安全
构筑安全堡垒：云计算环境下的网络安全与防护策略
【2月更文挑战第31天】 在信息技术迅猛发展的当代，云计算以其高效、灵活和成本优化的特点成为企业数字化转型的重要支撑。然而，随着云服务的广泛应用，数据的安全与隐私保护问题也日益凸显。本文将深入探讨在复杂多变的云计算环境中，如何通过创新技术和策略加强网络安全防护，确保信息安全。我们将分析当前云计算服务中存在的安全威胁，探讨加密技术、身份认证、访问控制以及入侵检测等关键技术的应用，并提出一个多层次、综合性的安全防护框架，以助力企业在享受云计算便利的同时，有效防范安全风险。
历年考试不作弊
25 1
wmh1024
|
3月前
|
开发框架 安全 .NET
【网络安全】搭建安全及拓展
【网络安全】搭建安全及拓展
wmh1024
64 0

热门文章

最新文章

  • 1
    阿里云数据库内核 Apache Doris 兼容 Presto、Trino、ClickHouse、Hive 等近十种 SQL 方言，助力业务平滑迁移
  • 2
    一文搞懂SQL优化——如何高效添加数据
  • 3
    Seata常见问题之服务端 error日志没有输出,客户端执行sql报错如何解决
  • 4
    【软件设计师备考 专题 】数据库语言（SQL）
  • 5
    TiDB支持的SQL语法概述
  • 6
    【SQL server】玩转SQL server数据库：第三章 关系数据库标准语言SQL（二）数据查询
  • 7
    SQL常见面试题总结2
  • 8
    MyBatis中的9种常用动态sql标签精妙用法
  • 9
    【SQL server】玩转SQL server数据库：第二章 关系数据库
  • 10
    【MySQL技术之旅】（7）总结和盘点优化方案系列之常用SQL的优化
  • 1
    网络安全产品之认识蜜罐
    15
  • 2
    网络安全产品之认识防非法外联系统
    38
  • 3
    网络安全产品之认识准入控制系统
    66
  • 4
    网络安全产品之认识防病毒软件
    34
  • 5
    网络安全产品之认识安全隔离网闸
    36
  • 6
    网络安全产品之认识漏洞扫描设备
    49
  • 7
    网络安全入狱知识点
    53
  • 8
    Qt5.14.2揭秘Qt与SSL/TLS的完美邂逅：打造坚不可摧的网络安全防线
    17
  • 9
    网络安全威胁——计算机病毒
    15
  • 10
    利用机器学习优化网络安全防御机制
    27

    • 相关课程

    更多
  • SQL完全自学手册
  • 网络管理者必知-2分钟了解新出台的《网络安全法》
  • SQL Server on Linux入门教程
  • SQL入门与实践
  • 数据库及SQL/MySQL基础
  • SQL进阶及查询

    • 相关电子书

    更多
  • SQL Server在电子商务中的应用与实践
  • GeoMesa on Spark SQL
  • 原生SQL on Hadoop引擎- Apache HAWQ 2.x最新技术解密malili

    • 相关实验场景

    更多
  • PolarDB for AI：在数据库中通过SQL实现AI能力
  • 玩转MaxCompute SQL! 30分钟搞定数据分析挖掘
  • 使用SQL语句实现数据表管理
  • 使用SQL语句实现数据插入、修改和删除操作
  • 使用SQL语句实现数据查询操作
  • 使用SQL语句管理索引
    • 下一篇
    阿里云oss简介和使用流程
    为什么选择阿里云什么是云计算全球基础设施技术领先稳定可靠安全合规分析师报告
    产品和定价全部产品免费试用产品动态产品定价价格计算器云上成本管理
    解决方案技术解决方案
    文档与社区文档开发者社区天池大赛培训与认证
    权益中心免费试用高校计划企业扶持计划推荐返现计划
    支持与服务基础服务企业增值服务迁云服务官网公告健康看板信任中心
    关注阿里云
    关注阿里云公众号或下载阿里云APP，关注云资讯，随时随地运维管控云服务
    阿里云APP阿里云微信
    联系我们：4008013260
    法律声明Cookies政策廉正举报安全举报联系我们加入我们
    阿里巴巴集团淘宝网天猫全球速卖通阿里巴巴国际交易市场1688阿里妈妈飞猪阿里云计算AliOS万网高德UC友盟优酷钉钉支付宝达摩院淘宝海外阿里云盘饿了么
    © 2009-2024 Aliyun.com 版权所有 增值电信业务经营许可证： 浙B2-20080101 域名注册服务机构许可： 浙D3-20210002 京D3-20220015
    浙公网安备 33010602009975号浙B2-20080101-4