国产情侣真实露脸在线,亚洲欧美成人综合久久久,中文毛片无遮挡高潮免费,亚洲人成影院在线无码按摩店

安全公告編號(hào):CNTA-2014-0006

VPN設(shè)備主要用于建立從互聯(lián)網(wǎng)直接訪問內(nèi)部網(wǎng)絡(luò)的連接。近期，我中心主辦的國(guó)家信息安全漏洞共享平臺(tái)（CNVD）對(duì)美國(guó)凹凸科技(O2security)生產(chǎn)的SSL-VPN設(shè)備進(jìn)行分析，確認(rèn)其存在多個(gè)高危漏洞。利用漏洞可遠(yuǎn)程控制VPN設(shè)備，進(jìn)而竊取內(nèi)部網(wǎng)絡(luò)的敏感信息。CNVD測(cè)試發(fā)現(xiàn)漏洞還影響到多家國(guó)內(nèi)網(wǎng)絡(luò)設(shè)備廠商的代碼同源產(chǎn)品，有數(shù)十家國(guó)內(nèi)政府、高校和重要部門用戶受到漏洞威脅。經(jīng)多次協(xié)調(diào)，目前該公司仍未對(duì)漏洞進(jìn)行應(yīng)急響應(yīng)。具體情況通報(bào)如下：

一、漏洞情況分析

凹凸科技(O2security) 是美國(guó)知名網(wǎng)絡(luò)設(shè)備生產(chǎn)商。2013年6月和2014年1月，CNVD分析了該公司以PHP為開發(fā)語言的部分SSL-VPN設(shè)備存在的文件包含、遠(yuǎn)程代碼執(zhí)行、調(diào)試后門默認(rèn)口令、信息泄露等漏洞（收錄編號(hào)：CNVD-2013-06510、CNVD-2014-00666）。

（一）文件包含漏洞(CNVD-2013-06510)

部分設(shè)備存在一處漏洞頁面（sub_ca_action.php），該頁面對(duì)提交的POST請(qǐng)求未進(jìn)行過濾，可以直接讀取VPN設(shè)備操作系統(tǒng)中的文件，包括：系統(tǒng)配置文件、數(shù)據(jù)文件等，構(gòu)成信息泄露風(fēng)險(xiǎn)。該漏洞也可被利用發(fā)起進(jìn)一步的攻擊。

（二）PHP代碼執(zhí)行漏洞(CNVD-2013-06510)

部分設(shè)備存在一處漏洞頁面(minica_down.php)，該頁面對(duì)提交的POST請(qǐng)求未進(jìn)行過濾，可通過構(gòu)造特定的PHP代碼向VPN設(shè)備上傳后門文件，達(dá)到遠(yuǎn)程控制的目的。

（三）調(diào)試后門默認(rèn)口令漏洞(CNVD-2013-06510)

部分設(shè)備存在一處調(diào)試功能頁面(debug.php)，用管理員權(quán)限賬號(hào)(o2micro)和默認(rèn)口令可連接成功，進(jìn)而執(zhí)行系統(tǒng)指令。

（四）文件包含漏洞（CNVD-2014-00666）

部分設(shè)備存在一處漏洞頁面(暫不披露)，該頁面對(duì)提交的POST請(qǐng)求未進(jìn)行過濾，可以下載讀取、刪除VPN設(shè)備操作系統(tǒng)中的任意文件，包括：配置文件、源碼文件等，構(gòu)成信息泄露和運(yùn)行風(fēng)險(xiǎn)。該漏洞也可被利用發(fā)起進(jìn)一步的攻擊。

（五）PHP代碼執(zhí)行漏洞（CNVD-2014-00666）

部分設(shè)備存在多處文件上傳漏洞頁面（暫不披露），頁面對(duì)提交的POST請(qǐng)求未進(jìn)行過濾，可通過構(gòu)造特定的PHP代碼向VPN設(shè)備上傳后門文件，達(dá)到遠(yuǎn)程控制的目的。

（六）信息泄露漏洞（CNVD-2014-00666）

部分設(shè)備未對(duì)管理控制界面對(duì)應(yīng)的系統(tǒng)目錄和文件做好訪問權(quán)限控制，如：htdocs目錄和httpd.conf文件，攻擊者可以直接訪問上述文件，獲得頁面源代碼信息或可用于滲透攻擊所用的設(shè)備配置文件信息。

二、漏洞影響評(píng)估

CNVD對(duì)上述漏洞的綜合評(píng)級(jí)為“高危”。測(cè)試發(fā)現(xiàn)多家國(guó)內(nèi)設(shè)備廠商生產(chǎn)的SSL-VPN設(shè)備采用了與凹凸科技(O2security) SSL-VPN設(shè)備代碼同源的軟件系統(tǒng)，同樣會(huì)受到漏洞的影響。根據(jù)CNVD抽樣檢測(cè)結(jié)果，有數(shù)十家政府部門、高等院校以及企事業(yè)單位采用的SSL-VPN設(shè)備存在所述漏洞。目前，CNVD尚未能通過技術(shù)測(cè)試明確受漏洞影響的設(shè)備具體型號(hào)和版本。

三、漏洞處置情況和后續(xù)建議

CNVD在2013年6月向美國(guó)凹凸科技(O2security)郵件通報(bào)了部分漏洞情況；2014年1月16日，CNVD向美國(guó)凹凸科技(O2security)駐中國(guó)研發(fā)部門通報(bào)了后續(xù)漏洞情況，均未獲回應(yīng)。此外，CNVD向受較大影響的國(guó)內(nèi)3家設(shè)備廠商也通報(bào)了漏洞情況，要求提供漏洞解決方案并做好用戶的應(yīng)急響應(yīng)工作。

為有效處置漏洞威脅，相關(guān)處置建議如下：

（一）建議國(guó)內(nèi)VPN設(shè)備廠商進(jìn)行自查，看是否有采用了與凹凸科技(O2security) SSL-VPN設(shè)備同源軟件代碼的產(chǎn)品，聯(lián)系CNVD，協(xié)同對(duì)設(shè)備進(jìn)行安全測(cè)試；

（二）凹凸科技(O2security)SSL-VPN設(shè)備用戶可以聯(lián)系生產(chǎn)廠商，要求提供漏洞解決方案。

? CNCERT/CNVD將繼續(xù)跟蹤事件后續(xù)情況，做好國(guó)內(nèi)相關(guān)用戶受影響情況的監(jiān)測(cè)和預(yù)警工作。如需技術(shù)支援，請(qǐng)聯(lián)系CNCERT/CNVD。電子郵箱：vreport@cert.org.cn，聯(lián)系電話：010-82990286。

注：上述漏洞信息由WOOYUN白帽子紫夢(mèng)芊、felixk3y提供。