VenusTech 2016年5月之TOP 10安全漏洞
发布时间:2016-06-12   录入:启明星辰

2016年05月安全漏洞总结

I. 本月重要安全漏洞

----------------------------

1. ImageMagick Studio ImageMagick delegate功能远程代码执行漏洞

2. Microsoft 5月安全公告修复多个安全漏洞

3. OpenSSL修复多个安全漏洞

4. Symantec Anti-Virus Engine kernel组件任意代码执行漏洞

5. ANDROID NVIDIA Video Driver多个权限提升漏洞

6. Adobe Reader/Acrobat多个内存破坏任意代码执行漏洞

7. Adobe Flash Player多个内存破坏任意代码执行漏洞

8. SAP NetWeaver AS Java的Invoker Servlet存在任意代码执行漏洞

9. Huawei USG/NGFW Module/IPS/NIP/AntiDDoS8000缓冲区溢出漏洞

10.QEMU VGA模块任意代码执行漏洞


1. ImageMagick Studio ImageMagick delegate功能远程代码执行漏洞
 
CVE ID:CVE-2016-3714

发布日期:2016-05-05
更新日期:2016-05-05

受影响系统:

ImageMagick Studio ImageMagick < 6.9.3-10
ImageMagick Studio ImageMagick < 7.0.1-1

描述:

ImageMagick Studio ImageMagick多个编码器(EPHEMERAL,HTTPS,MVG,MSL,TEXT,SHOW,WIN,PLT)没有充分过滤用户传入的shell字符,允许远程攻击者可构建恶意图像文件,提交并以WEB权限执行。

相关链接:

https://www.imagemagick.org/discourse-server/viewtopic.php?f=4&t=29588

2. Microsoft 5月安全公告修复多个安全漏洞
 
CVE ID:

发布日期:2016-05-10
更新日期:2016-05-10

受影响系统:

Microsoft Windows
Microsoft Internet Explorer
Microsoft Office
Microsoft Office Services
Microsoft Edge
Microsoft Skype for Business
Microsoft Web Apps
Microsoft Edge
Microsoft .NET Framework

描述:

微软发布了2016年5月份的月度例行安全公告,共含16项更新,修复了Microsoft Windows、Internet Explorer、Edge、Server、Office、Office Service、Web Apps、和.NET Framework中存在的36个安全漏洞。

相关链接:

https://technet.microsoft.com/zh-cn/library/security/ms16-may.aspx  

3. OpenSSL修复多个安全漏洞

CVE(CAN) ID:

发布日期:2016-05-03
更新日期:2016-05-03

受影响系统:

OpenSSL 1.0.2
OpenSSL 1.0.1

描述:


OpenSSL存在多个安全漏洞,包括EBCDIC越界读漏洞,ASN.1 BIO内存过度分配漏洞,EVP_EncodeUpdate溢出漏洞,EVP_EncodeUpdate溢出漏洞和密文填塞漏洞OpenSSL ASN.1 encoder内存破坏漏洞,建议用户积极更新升级。           

相关链接:

https://www.openssl.org/news/secadv/20160503.txt

4. Symantec Anti-Virus Engine kernel组件任意代码执行漏洞
 
CVE ID:CVE-2016-2208

发布日期:2016-05-19
更新日期:2016-05-19

受影响系统:

Symantec Anti-Virus Engine < 20151.1.1.4

描述:

Symantec Anti-Virus Engine 的kernel组件存在安全漏洞,攻击者构建特殊的PE标头文件,诱使用户解析,可使应用程序崩溃或者执行任意代码。

相关链接:

https://www.symantec.com/security_response/securityupdates/detail.jsp?fid=security_advisory&pvid=security_advisory&suid=20160516_00

5.ANDROID NVIDIA Video Driver多个权限提升漏洞

CVE ID:

发布日期:2016-05-16
更新日期:2016-05-16

受影响系统:

Android < 2016-05-01

描述:

Nexus 9设备上,Android 2016-05-01版本,NVIDIA Video Driver存在权限提升漏洞,本地攻击者利用漏洞构建特殊的应用,诱使用户打开,可提升权限。

相关链接:

http://source.android.com/security/bulletin/2016-05-01.html

6. Adobe Reader/Acrobat多个内存破坏任意代码执行漏洞

CVE(CAN) ID: 

发布日期:2016-05-11
更新日期:2016-05-11

受影响系统:

Adobe Reader < 15.016.20039
Adobe Reader <  15.006.30172
Adobe Reader <  11.0.16

描述:

Adobe Reader/Acrobat存在多个内存破坏漏洞,允许远程攻击者利用漏洞构建恶意SWF内容,诱使用户解析,可使应用程序崩溃或执行任意代码。

相关链接:

https://helpx.adobe.com/security/products/acrobat/apsb16-14.html

7.Adobe Flash Player多个内存破坏任意代码执行漏洞

CVE ID:CVE-2016-2332

发布日期:2016-05-12
更新日期:2016-05-12

受影响系统:

Adobe Flash Player < 21.0.0.213

描述:

Adobe Flash Player存在多个内存破坏漏洞,允许远程攻击者利用漏洞构建恶意SWF内容,诱使用户解析,可使应用程序崩溃或执行任意代码。

相关链接:

https://helpx.adobe.com/security/products/flash-player/apsb16-15.html

8. SAP NetWeaver AS Java的Invoker Servlet存在任意代码执行漏洞

CVE(CAN) ID:CVE-2010-5326

发布日期:2016-05-19
更新日期:2016-05-19

受影响系统:

SAP NetWeaver AS Java < 7.3

描述:

SAP NetWeaver AS Java的Invoker Servlet没有要求身份验证,允许远程攻击者可利用漏洞发送HTTP或HTTPS请求执行任意代码。


相关链接:

http://www.onapsis.com/research/publications/sap-security-in-depth-vol4-the-invoker-servlet-a-dangerous-detour-into-sap-java-solutions 


9. Huawei USG/NGFW Module/IPS/NIP/AntiDDoS8000缓冲区溢出漏洞

CVE ID:CVE-2016-4576

发布日期:2016-05-24
更新日期:2016-05-24

受影响系统:

Huawei NGFW Module V500R001C00
Huawei USG USG6600
Huawei USG USG6500
Huawei USG USG6300
Huawei IPS Module V500R001C00
Huawei AntiDDoS8000 < V500R001C20SPC100
 
描述:

华为多款产品在Application Specific Packet Filtering (ASPF)功能的实现中存在缓冲区溢出漏洞。远程攻击者可利用漏洞构建特殊的数据报文,造成拒绝服务或执行任意代码。

相关链接:

http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160511-01-aspf-en

10. QEMU VGA模块任意代码执行漏洞

CVE ID:CVE-2016-3710

发布日期:2016-05-13
更新日期:2016-05-13

受影响系统:

QEMU
 
描述:

QEMU的VGA模块内存访问模式中存在漏洞,本地特权用户利用此漏洞,可在Qemu进程权限内执行任意代码。

相关链接:

http://xenbits.xen.org/xsa/advisory-179.html

文章来源:http://www.venustech.com.cn/
  • 公司总部 | 分支机构 | 法律声明 | 投资者关系 | 400-624-3900 800-810-6038
  • © 启明星辰1996-2015 版权所有 京ICP备05032414号 京公网安备110108003435号