413
金融安全资讯精选 2017年第七期：Equifax 泄漏 1.43 亿用户数据，Struts2 REST插件远程执行命令漏洞全面分析，阿里云护航金砖五国大会
【金融安全动态】
美国信用评分公司Equifax 被攻击，泄漏 1.43 亿用户数据。点击查看原文
概要：泄露的信息包括用户社会安全码、驾照信息、生日信息、信用卡数据等。据SEC（U.S. Securities and Exchange Commission）的文件，三位Euifax董事已经售出了“一小部分”所持股票。Equifax 称黑客利用了 Web 应用的漏洞访问了某些文件，Apache Struts 受到的怀疑最多。Apache Struts 项目今年爆出了两个漏洞，一个是在 3 月，另一个就是在上周。Apache本周对此发表了澄清声明，称在接到漏洞报告之后，已经尽快修复了漏洞。
点评：令人恐慌的，不仅仅是泄露规模之大，和被泄露信息的“隐私”程度，更是因为Equifax是全美最权威的信用评分公司之一，却在网络攻击中“信用彻底崩塌”。随着针对性攻击变本加厉，信息泄露事件会更加频繁，以法律和标准来保护个人信息安全是必然，政府、金融等行业，也需要承担更大的安全责任。
有理由推断，该事件有可能成为近年来在广度和深度上最严重的数据泄露事件之一。根据国外法律，当隐私违规使得消费者利益受影响，FTC（Federal Trade Commission）有可能会予以20年审计的处罚，另可能涉及不同州的州际法律，对数据泄露的要求和惩罚。
【相关安全事件】
Struts2 REST插件远程执行命令漏洞全面分析点击查看原文
概要：2017年9月5日，Apache Struts 2官方发布一个严重级别的安全漏洞公告，该漏洞由国外安全研究组织lgtm.com的安全研究人员发现，漏洞编号为CVE-2017-9805（S2-052）。
点评：当Struts2使用REST插件使用XStream的实例xstreamhandler处理反序列化XML有效载荷时没有进行任何过滤，可以导致远程执行代码，攻击者可以利用该漏洞构造恶意的XML内容获取服务器权限。
建议运维人员或开发人员尽快关注并资产，可以检查使用了REST插件Struts版本是否在受影响范围内。如果存在，建议您尽快按照以下方式修复漏洞。
【云上视角】
概要：护航期间，金砖会议官网域名服务0安全事件；重保网站0业务中断、0安全事件；云平台用户网站安全运营0干扰。大会启动前2个月，经相关部门授权，阿里云专家对云上政府类网站做了一次全方位“体检”，找出网站可能存在的漏洞，并出具优化、容灾建议，做到了安全不留死角。本次护航也启用了超长待机的“云博士” 向有安全隐患的客户进行通报隐患，确保通知用户环节更简单更快捷更高效，从而让更多安全专家可以集中精力解决难题。
查看其它行业资讯
政府安全资讯精选 2017年第七期 美国权威征信公司发生严重数据泄漏 数据安全重要性再突显
往期回顾
金融、政府、游戏安全资讯精选会通过云栖社区专栏，
如果您是阿里云用户，
最后更新：2017-09-12 21:32:41