413
金融安全資訊精選 2017年第七期：Equifax 泄漏 1.43 億用戶數據，Struts2 REST插件遠程執行命令漏洞全麵分析，阿裏雲護航金磚五國大會
【金融安全動態】
美國信用評分公司Equifax 被攻擊，泄漏 1.43 億用戶數據。點擊查看原文
概要：泄露的信息包括用戶社會安全碼、駕照信息、生日信息、信用卡數據等。據SEC（U.S. Securities and Exchange Commission）的文件，三位Euifax董事已經售出了“一小部分”所持股票。Equifax 稱黑客利用了 Web 應用的漏洞訪問了某些文件，Apache Struts 受到的懷疑最多。Apache Struts 項目今年爆出了兩個漏洞，一個是在 3 月，另一個就是在上周。Apache本周對此發表了澄清聲明，稱在接到漏洞報告之後，已經盡快修複了漏洞。
點評：令人恐慌的，不僅僅是泄露規模之大，和被泄露信息的“隱私”程度，更是因為Equifax是全美最權威的信用評分公司之一，卻在網絡攻擊中“信用徹底崩塌”。隨著針對性攻擊變本加厲，信息泄露事件會更加頻繁，以法律和標準來保護個人信息安全是必然，政府、金融等行業，也需要承擔更大的安全責任。
有理由推斷，該事件有可能成為近年來在廣度和深度上最嚴重的數據泄露事件之一。根據國外法律，當隱私違規使得消費者利益受影響，FTC（Federal Trade Commission）有可能會予以20年審計的處罰，另可能涉及不同州的州際法律，對數據泄露的要求和懲罰。
【相關安全事件】
Struts2 REST插件遠程執行命令漏洞全麵分析點擊查看原文
概要：2017年9月5日，Apache Struts 2官方發布一個嚴重級別的安全漏洞公告，該漏洞由國外安全研究組織lgtm.com的安全研究人員發現，漏洞編號為CVE-2017-9805（S2-052）。
點評：當Struts2使用REST插件使用XStream的實例xstreamhandler處理反序列化XML有效載荷時沒有進行任何過濾，可以導致遠程執行代碼，攻擊者可以利用該漏洞構造惡意的XML內容獲取服務器權限。
建議運維人員或開發人員盡快關注並資產，可以檢查使用了REST插件Struts版本是否在受影響範圍內。如果存在，建議您盡快按照以下方式修複漏洞。
【雲上視角】
概要：護航期間，金磚會議官網域名服務0安全事件；重保網站0業務中斷、0安全事件；雲平台用戶網站安全運營0幹擾。大會啟動前2個月，經相關部門授權，阿裏雲專家對雲上政府類網站做了一次全方位“體檢”，找出網站可能存在的漏洞，並出具優化、容災建議，做到了安全不留死角。本次護航也啟用了超長待機的“雲博士” 向有安全隱患的客戶進行通報隱患，確保通知用戶環節更簡單更快捷更高效，從而讓更多安全專家可以集中精力解決難題。
查看其它行業資訊
政府安全資訊精選 2017年第七期 美國權威征信公司發生嚴重數據泄漏 數據安全重要性再突顯
往期回顧
金融、政府、遊戲安全資訊精選會通過雲棲社區專欄，
如果您是阿裏雲用戶，
最後更新：2017-09-12 21:32:41