绿盟科技网络安全威胁周报2017.22 关注Juniper Junos Space任意代码执行漏洞CVE-2017-2306

绿盟科技发布了本周安全通告，周报编号NSFOCUS-17-22，绿盟科技漏洞库本周新增13条，其中高危0条。本次周报建议大家关注 Juniper Networks Junos Space任意代码执行漏洞 。目前厂商已经发布了升级补丁以修复这个安全问题，请到 厂商主页 下载修复。

焦点漏洞

Juniper Networks Junos Space任意代码执行漏洞

• NSFOCUS ID 36770
• CVE ID CVE-2017-2306

受影响版本

• Juniper Networks Junos Space < 16.1R1

漏洞点评

Junos Space是瞻博网络（Juniper Networks）推出的一种管理其交换机、路由器和安全设备产品的解决方案。在Junos Space 16.1R1之前的版本中，存在安全漏洞，可使只读用户在未授权情况下在web管理接口中执行任意代码。目前厂商已经发布了升级补丁以修复这个安全问题，请到 厂商主页 下载修复。

（数据来源：绿盟科技安全研究部&产品规则组）

互联网安全态势

CVE统计

最近一周CVE公告总数与前期相比。值得关注的高危漏洞如下：

威胁信息回顾

• 影子经纪人公布月度邮件自服务计划
  • 2017年5月30日14:00左右， 影子经纪人TheShadowBrokers如约而至 ，正式发布了“月度爆料服务”的“第一弹”（TheShadowBrokers Monthly Dump Service – June 2017）
  • http://toutiao.secjia.com/shadowbrokers-monthly-dump-service
• FreeRADIUS allows hackers to log in without credentials
  • The security researcher Stefan Winter has discovered a TLS resumption authentication bypass in FreeRADIUS, the world’s most popular RADIUS Server
  • http://securityaffairs.co/wordpress/59553/hacking/freeradius-tls-resumption-authentication-bypass.html
• A recently discovered Linux flaw could be exploited by Sudo Users to gain Root Privileges
  • Security researchers at Qualys Security have discovered a Linux Flaw that could be exploited to escalate privileges and overwrite any file on the filesystem
  • http://securityaffairs.co/wordpress/59606/hacking/linux-flaw.html
• OneLogin: Breach Exposed Ability to Decrypt Data
  • OneLogin, an online service that lets users manage logins to sites and apps from a single platform, says it has suffered a security breach in which customer data was compromised, including the ability to decrypt encrypted data.
  • https://krebsonsecurity.com/2017/06/onelogin-breach-exposed-ability-to-decrypt-data/
• WannaCry Development Errors Enable File Recovery
  • WannaCry may have caused worldwide havoc on May 12 when it rode the coattailsof the NSA’s weaponized EternalBlue exploit to infect computers in 150 countries, but that doesn’t mean it was a quality piece of ransomware.
  • https://threatpost.com/wannacry-development-errors-enable-file-recovery/126002
• SyScan360黑客大会
  • 北京时间5月31日凌晨，为期两天的SyScan360在美国西雅图开幕，来自谷歌.微软.Intel.McAfee.360.盘古等众多国内外公司的网络安全专家和顶级黑客齐聚一堂，分享安全圈备受关注的前沿话题
  • http://www.ijiandao.com/news/focus/56256.html
  • http://www.ijiandao.com/news/focus/56293.html

（数据来源：绿盟科技 威胁情报与网络安全实验室 收集整理）

绿盟科技漏洞研究

绿盟科技漏洞库新增13条

截止到2017年6月2日，绿盟科技漏洞库已收录总条目达到36776条。本周新增漏洞记录13条，其中高危漏洞数量0条，中危漏洞数量9条，低危漏洞数量4条。

• Juniper Networks Junos Space权限提升漏洞(CVE-2017-2305)
  • 危险等级:中
  • cve编号:CVE-2017-2305
• Juniper Networks Junos Space拒绝服务漏洞(CVE-2017-2311)
  • 危险等级:中
  • cve编号:CVE-2017-2311
• Juniper Networks Junos Space防火墙绕过漏洞(CVE-2017-2310)
  • 危险等级:低
  • cve编号:CVE-2017-2310
• Juniper Networks Junos Space信息泄露漏洞(CVE-2017-2309)
  • 危险等级:低
  • cve编号:CVE-2017-2309
• Juniper Networks Junos SpaceXML外部实体注入漏洞(CVE-2017-2308)
  • 危险等级:低
  • cve编号:CVE-2017-2308
• Juniper Networks Junos Space跨站脚本漏洞(CVE-2017-2307)
  • 危险等级:低
  • cve编号:CVE-2017-2307
• Juniper Networks Junos Space任意代码执行漏洞(CVE-2017-2306)
  • 危险等级:中
  • cve编号:CVE-2017-2306
• VideoLAN VLC plugins\codec\libflac_plugin.dll拒绝服务漏洞(CVE-2017-9300)
  • 危险等级:中
  • BID:98747
  • cve编号:CVE-2017-9300
• VideoLAN VLC libmpgatofixed32_plugin.dll拒绝服务漏洞(CVE-2017-9301)
  • 危险等级:中
  • BID:98746
  • cve编号:CVE-2017-9301
• RealPlayer 拒绝服务漏洞(CVE-2017-9302)
  • 危险等级:中
  • cve编号:CVE-2017-9302
• OpenLDAP ‘servers/slapd/back-mdb/search.c’ 拒绝服务漏洞(CVE-2017-9287)
  • 危险等级:中
  • BID:98736
  • cve编号:CVE-2017-9287
• Mozilla Network Security Services拒绝服务漏洞(CVE-2017-7502)
  • 危险等级:中
  • BID:98744
  • cve编号:CVE-2017-7502
• QEMU virtio_gpu_set_scanout函数拒绝服务漏洞(CVE-2017-9060)
  • 危险等级:中
  • cve编号:CVE-2017-9060

（数据来源：绿盟科技安全研究部&产品规则组）

原文发布时间：2017年6月5日

本文由：绿盟科技发布，版权归属于原作者

原文链接:http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-201722