綠盟科技釋出了本周安全通告，周報編号nsfocus-16-35，綠盟科技漏洞庫本周新增44條，其中高危23條。本次周報建議大家關注 firefox浏覽器遠端代碼執行漏洞 ，會允許攻擊者在使用者的機器上遠端執行代碼。受該漏洞影響的平台包括windows，mac os以及linux。請使用firefox浏覽器的使用者及時更新到最新版本。
firefox浏覽器遠端代碼執行漏洞
cve id cve-2016-9079
受影響版本
firefox version < 50.0.2
firefox esr version < 45.5.1
thunderbird version < 45.5.1
漏洞點評
firefox是一個自由及開放源代碼網頁浏覽器。近日，其官網釋出了一個緊急更新，修補了編号為cve-2016-9079的漏洞。該漏洞是一個存在于svg animation子產品中的釋放後重用(uaf)漏洞，當使用者使用firefox浏覽包含惡意javascript和svg代碼的頁面時，會允許攻擊者在使用者的機器上遠端執行代碼。受該漏洞影響的平台包括windows，mac os以及linux。請使用firefox浏覽器的使用者及時更新到最新版本。
（資料來源：綠盟科技安全研究部&産品規則組）
最近一周cve公告總數與前期相比大幅上升。值得關注的高危漏洞如下：
<a href="http://toutiao.secjia.com/deutsche-telecom-mirai-attack-analysis" target="_blank">1127德國斷網事件到底是誰幹的？</a>
德國當地時間11月27日（周日）17：00左右， 德國電信遭遇網絡攻擊，超90萬路由器無法聯網 ，德國電信方面已經确認了此事。斷網事故共持續數個小時，後于11月28日（周一）上午08：00，再次出現斷網問題。除了聯網服務外，德國電信使用者還用這些路由器來連接配接電話和電視服務。
http://toutiao.secjia.com/deutsche-telecom-mirai-attack-analysis
<a href="http://toutiao.secjia.com/what-is-free-flow-white-list" target="_blank">免費流量是什麼東西？讓三大營運商每年損失上億</a>
“免費流量”背後實際是一條黑色的産業鍊。北京商報記者日前調查了解到，包括手機、軟體、教程等“免費流量”産品已經遍布網絡。不過，據營運商内部人士透露，這些所謂的免費流量産品都是鑽營運商空子的産物，利用了營運商定向免費流量的漏洞，這一漏洞每年可導緻營運商上億元的損失
http://toutiao.secjia.com/what-is-free-flow-white-list
<a href="http://toutiao.secjia.com/firefox-0day-vulnerability" target="_blank">firefox 0day遠端執行代碼漏洞cve-2016-9079</a>
火狐浏覽器上暴露出一個 javascript 0day漏洞cve-2016-9079，而且已經被用于攻擊 tor 使用者。據綠盟科技預警通告稱，“該漏洞是一個存在于svg animation子產品中的釋放後重用(uaf)漏洞，當使用者使用firefox浏覽包含惡意javascript和svg代碼的頁面時，會允許攻擊者在使用者的機器上遠端執行代碼。受該漏洞影響的平台包括windows，mac os以及linux”
http://toutiao.secjia.com/firefox-0day-vulnerability
<a href="http://toutiao.secjia.com/redhat-middleware-xss-vulnerability" target="_blank">紅帽jboss中間件漏洞爆跨站攻擊漏洞</a>
此次紅帽中間件漏洞涉及cve-2016-3674、cve-2016-7041、cve-2016-8608，這些漏洞的組合使用将可能導緻攻擊者可以讀取伺服器檔案，并注入惡意腳本。綠盟科技釋出《紅帽jboss brms及jboss bpm suite多個漏洞安全威脅通告》。
http://toutiao.secjia.com/redhat-middleware-xss-vulnerability
（資料來源：綠盟科技 威脅情報與網絡安全實驗室 收集整理）
截止到2016年12月2日，綠盟科技漏洞庫已收錄總條目達到35515條。本周新增漏洞記錄44條，其中高危漏洞數量23條，中危漏洞數量19條，低危漏洞數量2條。
ntp拒絕服務漏洞(cve-2016-9312)
危險等級:高
bid:94450
cve編号:cve-2016-9312
ntp拒絕服務漏洞(cve-2016-7427)
bid:94447
cve編号:cve-2016-7427
ntp拒絕服務漏洞(cve-2016-9310)
cve編号:cve-2016-9310
ntp拒絕服務漏洞(cve-2016-9311)
cve編号:cve-2016-9311
ntp拒絕服務漏洞(cve-2016-7434)
bid:94448
cve編号:cve-2016-7434
ntp拒絕服務漏洞(cve-2016-7431)
bid:94454
cve編号:cve-2016-7431
ntp拒絕服務漏洞(cve-2016-7428)
bid:94446
cve編号:cve-2016-7428
linux kernel sctp_sf_ootb函數拒絕服務漏洞(cve-2016-9555)
危險等級:中
cve編号:cve-2016-9555
linux kernel權限提升漏洞(cve-2016-9644)
危險等級:低
cve編号:cve-2016-9644
linux kernel mpi_powm拒絕服務漏洞(cve-2016-8650)
bid:94532
cve編号:cve-2016-8650
linux kernel 本地整數溢出漏洞(cve-2016-9083)
bid:93929
cve編号:cve-2016-9083
linux kernel vfio驅動程式拒絕服務漏洞(cve-2016-9084)
bid:93930
cve編号:cve-2016-9084
linux kernel 本地資訊洩露漏洞(cve-2016-9178)
bid:94144
cve編号:cve-2016-9178
linux kernel cgroup offline拒絕服務漏洞(cve-2016-9191)
bid:94129
cve編号:cve-2016-9191
linux kernel security/keys/big_key.c拒絕服務漏洞(cve-2016-9313)
cve編号:cve-2016-9313
linux kernel tcp_ipv6.c拒絕服務漏洞(cve-2016-8645)
bid:94264
cve編号:cve-2016-8645
linux kernel hash_accept拒絕服務漏洞(cve-2016-8646)
bid:94309
cve編号:cve-2016-8646
linux kernel ‘kvm/emulate.c’ 拒絕服務漏洞(cve-2016-8630)
bid:94459
cve編号:cve-2016-8630
linux kernel crypto/algif_skcipher.c本地拒絕服務漏洞(cve-2015-8970)
bid:94217
cve編号:cve-2015-8970
linux kernel 本地緩沖區溢出漏洞(cve-2016-8633)
bid:94149
cve編号:cve-2016-8633
linux kernel tipc_msg_build函數堆緩沖區溢出漏洞(cve-2016-8632)
bid:94211
cve編号:cve-2016-8632
dell idrac7/idrac8裝置代碼注入漏洞(cve-2016-5685)
bid:94585
cve編号:cve-2016-5685
apache hadoop 遠端權限提升漏洞(cve-2016-5393)
cve編号:cve-2016-5393
libdwarf dwarf_util.c元件堆緩沖區越界讀漏洞(cve-2016-9480)
cve編号:cve-2016-9480
subversion mod_dontdothat及clients拒絕服務漏洞(cve-2016-8734)
cve編号:cve-2016-8734
exponent cms sql注入漏洞(cve-2016-9481)
cve編号:cve-2016-9481
ibm bigfix remote control 資訊洩露漏洞(cve-2016-2936)
cve編号:cve-2016-2936
ibm bigfix remote control 拒絕服務漏洞(cve-2016-2935)
cve編号:cve-2016-2935
ibm bigfix remote control 跨站腳本漏洞(cve-2016-2934)
cve編号:cve-2016-2934
ibm bigfix remote control 目錄周遊漏洞(cve-2016-2933)
cve編号:cve-2016-2933
ibm bigfix remote control xml注入漏洞(cve-2016-2932)
bid:94607
cve編号:cve-2016-2932
ibm bigfix remote control sql注入漏洞(cve-2016-2931)
cve編号:cve-2016-2931
ibm bigfix remote control 資訊洩露漏洞(cve-2016-2937)
cve編号:cve-2016-2937
ibm bigfix remote control 跨站請求僞造漏洞(cve-2016-2963)
cve編号:cve-2016-2963
ibm bigfix remote control sql注入漏洞(cve-2016-2950)
cve編号:cve-2016-2950
ibm bigfix remote control 資訊洩露漏洞(cve-2016-2948)
cve編号:cve-2016-2948
ibm bigfix remote control 權限提升漏洞(cve-2016-2944)
cve編号:cve-2016-2944
ibm bigfix remote control 資訊洩露漏洞(cve-2016-2940)
cve編号:cve-2016-2940
openssl 拒絕服務漏洞(cve-2016-7054)
bid:94238
cve編号:cve-2016-7054
openssl 空指針間接引用拒絕服務漏洞(cve-2016-7053)
bid:94244
cve編号:cve-2016-7053
openssl montgomery乘法運算錯誤漏洞(cve-2016-7055)
bid:94242
cve編号:cve-2016-7055
mozilla firefox釋放後重利用遠端代碼執行漏洞(cve-2016-9079)
bid:94591
cve編号:cve-2016-9079
serendipity ssrf安全限制繞過漏洞(cve-2016-9752)
bid:94622
cve編号:cve-2016-9752
piwigo 跨站腳本漏洞(cve-2016-9751)
cve編号:cve-2016-9751
原文釋出時間：2017年3月24日
本文由：綠盟科技 釋出，版權歸屬于原作者
原文連結：http://toutiao.secjia.com/nsfocus-internet-security-threats-weekly-2016-35#
本文來自雲栖社群合作夥伴安全加，了解相關資訊可以關注安全加網站