关于Spring Framework跨站跟踪漏洞的补丁的通报

来源:县公安局 发布时间:2019-02-26 浏览次数: 【字体:

香港赛马协会 www.wl6b.com.cn 2019年2月21日,国家信息安全漏洞共享平台(CNVD)收录了WinRAR系列任意代码执行漏洞(CNVD-2019-04911、CNVD-2019-04912、CNVD-2019-04913与CNVD-2019-04910,分别对应CVE-2018-20250、CVE-2018-20251、CVE-2018-20252与CVE-2018-20253)。攻击者利用上述漏洞,可在未授权的情况下实现任意代码执行。目前,漏洞利用原理已公开,厂商已发布新版本修复此漏洞。

一、漏洞情况分析

WinRAR 是一款功能强大的压缩包管理器,作为档案工具RAR在 Windows环境下的图形界面,可用于备份数据、压缩文件、解压RAR/ZIP等格式的文件、创建 RAR/ZIP 等格式的压缩文件,得到了较为广泛的应用。

近日,Check Point的安全研究团队检测发现WinRAR的四个安全漏洞,分别为ACE文件验证逻辑绕过漏洞(CVE-2018-20250)、ACE文件名逻辑验证绕过漏洞(CVE-2018-20251)、ACE/RAR文件越界写入漏洞(CVE-2018-20252)以及LHA/LZH文件越界写入漏洞(CVE-2018-20253。漏洞攻击者利用上述漏洞,通过诱使用户使用WinRAR打开恶意构造的压缩包文件,将恶意代码写入系统启动目录或者写入恶意dll劫持其他软件进行执行,实现对用户主机的任意代码执行攻击。

CNVD对上述漏洞的综合评级为“高?!?。

二、漏洞影响范围

1、发布时间早于5.70 Beta 1版本的WinRAR软件;

2、使用unacev2.dll动态共享库的解压、文件管理类工具软件。

经腾讯玄武实验室检测发现,除WinRAR软件外,共计38款软件受此漏洞影响,CNVD秘书处正通报上述软件厂商,协助其进行漏洞修复,及时消除漏洞攻击隐患。

三、漏洞处置建议

1、使用WinRAR软件的用户:WinRAR厂商已发布新版本修复此漏洞,CNVD建议立即升级至最新版本:https://www.win-rar.com/download.html。

2、其他解压、文件管理类软件是否受影响的判断方法:用户可通过检查软件安装目录下是否存在unacev2.dll文件进行判断。

3、建议用户不要打开来历不明的压缩文件。

请各单位按照预警通报扫描情况,组织相关技术力量进行整改防范,防止发生数据泄漏或造成安全事故(事件)。


毕节市网络与信息安全信息通报中心驻纳雍工作站

2019年2月26日                 

  • 让山里娃感受智慧科技乐趣 2019-05-19
  • 江夏区宣传干部培训班圆满落幕 荆楚网携手江夏区委宣传部举办 2019-05-16
  • 【华商侃车NO.192】 亲!楼市火爆,别忘了买车位啊! 2019-05-16
  • 个税法迎第七次大修 起征点调至每年6万元 2019-05-08
  • 建立新道教的是他! 汤一介谈北魏道教领袖寇谦之 2019-05-08
  • 浙江吉利控股集团有限公司获第十二届人民企业社会责任奖年度扶贫奖 2019-05-08
  • 质疑的能力都没有,还有批判的余地吗》?看着就想笑 2019-05-08
  • 国地税怎么又合并了呢 一般来看 这是种集中资源的举动 2019-05-05
  • 2016年人民日报大数据分析 2019-05-05
  • 《中国宏观经济分析的理论体系》(英文版)简介 2019-05-04
  • 习近平同哈萨克斯坦总统纳扎尔巴耶夫举行会谈 2019-05-04
  • 用剩豆渣做丸子 人人都爱吃起来就停不住嘴-美食资讯 2019-05-04
  • 央行金融市场流动性合理稳定 经济金融运行平稳 2019-04-29
  • 习近平给大凉山村民支招致富路 2019-04-29
  • 《人民日报》创刊70周年 各界人士送祝福 2019-04-16
  • 736| 823| 52| 452| 946| 658| 742| 934| 165| 114| 760| 330| 841| 324| 651|