標籤: News

2021年通用缺陷列表(Common Weakness Enumeration-CWE) 項目中，前 25 名最危險的軟體安全缺陷已出爐! 該項目是由美國國土安全部(Homeland Security)旗下的國土安全系統工程與發展研究所 (HSSEDI) 贊助，並交由非營利的研發機構MITRE負責管理。

MITRE參考了由2021 年 3 月 18 日下載到的美國國家漏洞資料庫 (NVD)的2019 年和 2020 年常見漏洞披露(Common Vulnerabilities and Exposures，CVE) 數據，分析了大約 32,500個 CVEs特性與CVSS（常見漏洞評分系統）分數後，公布了前 25 名最危險軟體安全缺陷的排名。第一名是編號CWE-787的越界寫入（Out-of-bounds Write）缺陷。

2021年列出的前三名最危險漏洞類別中，第1名是CWE-787的越界寫入（Out-of-bounds Write）缺陷，這缺陷在2020年時位列第2名。越界寫入指的是軟體在預期緩衝區的末尾或開頭之前寫入數據，這會導致數據損壞、當掉或允許程式執行，使軟體可修改index或執行指標運算（Pointer arithmetic）來引用緩衝區邊界之外的存儲位置，令隨後的寫入操作產生未定義或意外的結果。

今年的第二名是CWE-79，是在網頁生成的過程中，出現不當的中和輸入（Improper Neutralization of Input During Web Page Generation）而可能衍生出各種跨站程式攻擊（Cross-site scripting，XSS），CWE-79是在去年的第一名。

第三名缺陷是CWE-125的越界讀取（Out-of-bounds Read）指的是軟體讀取超出預期緩衝區末尾或開頭之前的數據，可允許攻擊者從其他內存位置讀取敏感資訊或導致當掉。

總體而言，前 25 名最危險的軟體安全缺陷可導致軟體中的嚴重漏洞，攻擊者通常可利用這些漏洞來控制受影響的系統、獲取敏感資料或導致阻斷服務的情況等，企業應在軟體開發流程中排除和解決這些缺陷。

Source: https://cwe.mitre.org/top25/archive/2021/2021_cwe_top25.html

美國國務院（Department of State）今天宣布Rewards for Justice(正義獎勵) 計畫，為遏止重大基礎設施遭網攻和勒索軟體事件的激增，將懸賞最高1000萬美元(約新台幣2.79億元)給可以提供識別駭客身份、位置的資訊或線索的相關人士。

最近兩個月，美國最大肉類加工巨頭JBS Foods 和美運油公司Colonial Pipeline 遭駭攻，影響了美國的食品和燃料供應數天，甚至在某些地區引起美國民眾恐慌。許多資安公司和行業專家指責俄羅斯，指責克里姆林宮容忍並允許這些駭客在不攻擊俄羅斯組織的情況下從其他國家開展攻擊活動。

通過今天公告，可見國務院正在尋找證據，以證明這些駭客是在當地政權的某種幫助或指導下運作的。

懸賞的1000萬美元是通過國務院的正義獎勵 (Rewards for Justice) 計劃提供的，該計劃曾懸賞500萬美元以獲取有關北韓駭客及其正在進行的駭客活動的情報，並對有關任何國家資助的駭客干預美國大選提供資訊者予以最高1000 萬美元的獎勵。

為了保護潛在消息來源的安全，國務院表示願意以加密貨幣支付獎勵金，甚至建立了一個專門的暗網入口網站來接收匿名提示。

Microsoft 敦促客戶立即安裝這些例外的安全更新以解決 PrintNightmare 漏洞，但有研究人員指出這次修補只補好RCE漏洞，本地權限升級(LPE)漏洞仍未修補好。

今天微軟發布了緊急的例外(Out-of-band)安全更新，以修補以一個關鍵的零日漏洞（稱為“PrintNightmare”）， 該漏洞影響Windows Print Spooler 服務，可讓攻擊者執行任意程式碼並接管易受攻擊的系統。

在上周微軟警告稱已檢測到攻擊者針對編號為CVE-2021-34527（CVSS 8.8）的開採，且該遠端程式碼執行缺陷影響所有市場上的Windows版本。

根據美國CERT協調中心(CERT Coordination Center)，Windows Print Spooler 服務未能限制對允許用戶添加印表機和相關驅動程式功能的存取，這可允許遠端身份驗證的攻擊者以系統權限在易受攻擊的系統上執行遠端程式碼。

值得注意的是，PrintNightmare漏洞包括遠端程式碼執行(RCE)和本地特權升級(LPE) 向量，可在攻擊中被濫用以在目標 Windows 機器上運行具有系統權限的命令。

CERT/CC 漏洞分析師 Will Dormann說: 微軟針對 CVE-2021-34527 的更新似乎只解決​​了 PrintNightmare 的遠端程式執行(RCE)，而不是本地特權升級（LPE）。這實際上意味著修補不全，攻擊者仍可以在本地利用該漏洞獲得系統(SYSTEM)權限。在微軟發布例外更新後，安全研究員 Matthew Hickey也證實該修補僅修復了 RCE 而不是 LPE 組件。

另外另一個變通方法，Microsoft 建議停止和關閉Print Spooler 列印緩衝處理服務或通過群組政策(Group Policy Object)關閉接收遠端列印以阻止遠端攻擊。CISA 上週也發布了關於 PrintNightmare 零日漏洞的通知，鼓勵管理員在不用於打印的服務器上關閉 Windows Print Spooler 服務。

Windows針對以下版本已發布了修補：

Windows Server 2019

Windows Server 2012 R2

Windows Server 2008

Windows 8.1

Windows RT 8.1, and

Windows 10 (versions 21H1, 20H2, 2004, 1909, 1809, 1803, and 1507)

微軟甚至採取了不常見的做法，為去年正式停止支援的Windows 7 發布修補。Windows 10 版本 1607、Windows Server 2016 或 Windows Server 2012 的安全更新尚未發布，但據微軟稱，它們也將很快發布。

美國國土安全部之網路安全暨基礎設施安全局(Cybersecurity and Infrastructure Security Agency, CISA) 已發布關於關鍵 PrintNightmare 零日漏洞的說明，並建議資安人員在不用於列印的伺服器上停用(Disable) Windows Print Spooler 列印緩衝處理服務。

CISA表示，CERT 協調中心已針對 Windows Print spooler 服務中的一個關鍵遠端程式碼執行漏洞發布了VulNote，並指出：“雖然 Microsoft 已發布針對 CVE-2021-1675的更新，但更新並未解決CVE-2021-1675 的公共漏洞利用。” 攻擊者可以利用此漏洞（稱 PrintNightmare）來控制受影響的系統。

CISA 鼓勵資安人員應採用 Microsoft 在2021 年 1 月 11 日發布的操作指南作最佳實踐：“由於存在暴露的可能性，網域控制器和AD管理系統需要停用列印後台處理程式服務，推薦的方法是使用群組原則(Group policy object)。

根據 Microsoft 的建議，應通過群組原則在所有網域控制器和 AD管理系統上停用Print Spooler 服務，因為它會增加遭受攻擊的風險，微軟補充說，由於大多數 Windows 客戶端和伺服器平台上預設啟用這服務，建議在所有不需要的伺服器上停用它，以減輕未來受攻擊的風險。

目前，在Microsoft完全解決PrintNightmare零日漏洞之前，停用Print Spooler 服務是確保駭客，尤其是勒索軟體組織不會趁機攻擊企業網路的最簡單方法。

加拿大多倫多Humber River醫院的一份聲明中，承認其系統在6月14日凌晨2點左右受到了勒索軟體攻擊，從那時起，醫院一直在 「灰色代碼 」（Code Grey）下運作， Code Grey是在意味著醫院基本服務喪失時所使用的警示。由於醫院工作人員無法存取電子病歷和診斷測試結果，醫院已經取消了各種門診，並在大門前派了工作人員來重新引導患者，聲明說，到目前為止，手術沒有受到影響，急診室仍然開放，但一些救護車將被轉移到其他醫院。

Humber River醫院表示，由於系統不斷更新（最近一次修補是在 6 月 13 日）並受到監控，因此立即發現了零時差攻擊，關閉了 5,000 台電腦和所有 IT 系統，包括患者健康記錄系統。醫院補充說雖然系統關閉阻止了大多數電腦被加密，但一些檔案有被損壞。

Humber River醫院表示，其 IT 部門正在與一家外部第三方資安公司合作，以使其係統恢復正常運行， 5,000 台電腦（其中 800 台是伺服器）將被手動重啟。醫院在6月15日下午的聲明中表示，系統將在接下來的 48 小時內以交錯的方式重新上線，並表示重要的是要知道沒有任何機密資料被洩露，另外醫院也沒有指出是哪個勒索軟體組織所為。

Humber River是一家大型急診醫院，擁有722張床位，每年住院30,000人次，每年接受急診就診135,000人次。每天有近 370 人尋求緊急護理。

EA稱這不是勒索軟體攻擊，未影響業務營運，沒有對玩家的隱私造成任何風險

綜合外媒報導大型遊戲商美商藝電（EA）今坦承遭駭，內部資料被竊取，僅稱流失FIFA 國際足盟大賽和遊戲寒霜引擎Frostbite Engine原始碼和相關工具，EA 發言人在一份聲明中告訴外媒，玩家數據並未被存取，我們沒有理由相信玩家隱私存在任何風險。事件發生後，我們已加強安全措施，預計不會對我們的遊戲或業務產生影響，作為正在進行的刑事調查的一部份，我們正積極與執法部門官員和其他專家合作。

在駭客論壇上發現的消息，駭客現在正以 2800 萬美元的價格出售這批EA約780GB的數據和伺服器的存取權限，駭客還聲稱，可提供「充分利用EA所有服務的能力」。

駭客稱從該公司獲取了 780 GB 的數據:

*除錯工具、SDK 和 API 密鑰

*FIFA 21配對匹配伺服器代碼

*FIFA 22 API 密鑰和軟體開發工具包(SDK)和除錯工具

*寒霜引擎Frostbite Engine原始碼和除錯工具

*專有EA遊戲框架

*Microsoft XBOX 和 SONY 私有 SDK 和 API 密鑰

*XB PS 和 EA pfx 和 crt 密鑰

*FIFA 國際足盟大賽原始碼

*EA 玩家用作遊戲貨幣的積分

EA 在全球擁有超過 4.5 億註冊玩家，2020 年的淨收入為 55 億美元。EA其下作品包括《FIFA》、《戰鬥風雲》、《模擬市民》等長賣型作品，自家開發的「寒霜引擎」也用於許多暢銷遊戲製作。

Emsisoft資安公司的專家Brett Callow說，被竊的原始碼，可對EA的業務帶來問題，從理論上講，原始碼可以被其他開發人員複製，或在遊戲中製造外掛。Check Point發言人則說，無論如何原始碼只要外洩都不是好事，駭客可在原始碼中找到更深層的漏洞並加以利用，或將先前的原始碼在暗網上賣給其他惡意威脅行為者。

Source:

https://edition.cnn.com/2021/06/10/tech/electronic-arts-hack/index.html

https://www.theverge.com/2021/6/10/22528003/ea-data-breach-frostbite-fifa-internal-tools-hack

https://www.bbc.com/news/technology-57431987

https://www.bleepingcomputer.com/news/security/hackers-breach-gaming-giant-electronic-arts-steal-game-source-code/