Akamai 安全视点：六类漏洞全面解析

中央空调新风净水

近期，Akamai 安全研究团队从漏洞风险评估、流行程度以及漏洞防范建议等维度，针对六类漏洞展开了系统性分析。面对如下漏洞风险，Akamai 建议您应用修补程序，及时更新系统。
IPSec 漏洞

盘点9月高风险漏洞，主要分为 IKEv1 和 IPv6 两大 IPSec 核心协议的三个关键远程代码执行漏洞。它们藏身于负责处理和解析传入数据包的代码流中，存在着被未经身份验证的攻击者远程触发的高风险，被列为关键漏洞，CVSS 评分为9.8。
针对 IKE 这一加密密钥协商常用协议，同时启用有 IKEv1 和 IKEv2 的 Windows Server 非常容易受攻击，我们建议企业在非应用 IPSec 期间予以禁用；同理，在不用 IPSec 时，也建议禁用 IPv6。
CRM 漏洞

虽然 CRM 这类应用程序常作为云服务来提供，但9月盘点聚焦的两个关键漏洞会涉及本地安装，CVSS 评分为8.8。面对此类漏洞，当务之急应该是进行修补。若不能实现，Akamai 建议您使用分段来减少攻击媒介。
两类分段防护

• 安全围栏  限制 CRM 服务器工作站访问范围，仅允许拥有访问权限员工访问系统。
  
• 用户分段  攻击需要经过身份验证的用户，由此可通过用户分段实现有效抵御媒介。
  

OLE DB 和 ODBC 漏洞

作为 API 规范的 OLE DB 和 ODBC 中，有11个远程代码执行漏洞均被标记为重要漏洞，6个漏洞位于 SQL 服务器 OLE DB 提供程序中，其余5个位于 ODBC 驱动程序中，CVSS 评分为8.8。
防范 OLE DB 漏洞被滥用，可用分段法。阻截攻击链，可通过建立企业内 SQL 服务器允许列表，屏蔽外部未知服务器。而 ODBC 漏洞会泛滥于 Access 应用程序，建议企业加强安全等级。
SharePoint 漏洞

Akamai 监控发现，21%的网络至少有一台 SharePoint 服务器。SharePoint 是基于 Web 的文档管理和存储系统，本次发布共计4个远程代码执行漏洞，3个 CVSS 评分为8.8，1个评分为8.1。
鉴于启用4个漏洞需要特定权限，但耗时费力，因此推荐优先修补服务器。同时，您也可以针对较小的异常登录情况发出安全警报，或创建 SharePoint 访问权限的自定义规则。
远程过程调用漏洞

在高效的进程通信场景中，远程过程调用较为普遍。标准的客户端/服务器模式，也是当下技术体系中的常用协议，被应用于多项系统服务之中。
经 Akamai 监控分析可知，此漏洞仅存在于 Windows Server 上。攻击者会借此访问 portmap.sys 服务，由此企业需要针对相关区域进行重点防御。
Kerberos 漏洞

在常用身份验证机制 Kerberos 中，发现了两个涉及加密降级的漏洞，CVSS 评分为8.1。攻击者通过将攻击目标和域控制器间的连接，修改为较弱等级的 RC4-md4 加密，来破解受害者的 Kerberos 会话密钥，进而提升权限。
使用 Kerberos Armoring 防御外，漏洞得以暴露还可能是因为模拟攻击。针对这种情况，我们建议企业使用 IDS 或 IPS 解决方案，建立主动防护机制、减轻部分风险。
截止目前，如上所述概括了9月漏洞特点与相应建议。后续，Akamai 还将对相应风险进行持续审查。针对当前已知漏洞与潜在风险，Akamai Guardicore Segmentation 正在帮助全球数百个数据中心加强进程级网络监测，及时、全面地洞察网络连接情况，为企业安全团队防控网络风险提供关键性参考，期待与更多公司展开深度合作。
<hr/>最后，欢迎广大知友们关注Akamai知乎机构号，第一时间了解Akamai在Web交付性能、安全性、边缘计算等领域的最新技术成果和解决方案，以及整个行业的发展趋势。

没有立场的互喷

路过 帮顶 嘿嘿