安全月报：信息泄漏问题以大数据存储服务居多

9月教育网运行正常，未发现影响严重的安全事件。近期投诉事件中的数据泄漏问题需要引起用户关注。信息泄漏问题以大数据存储服务居多。

2019年8~9月安全投诉事件统计

随着各行各业对大数据的重视，与大数据相关的研究项目也越来越多，包含各类行业数据的大数据平台也被搭建起来。如果搭建大数据服务时没有考虑安全问题（如使用默认配置）就可能导致系统身份验证功能缺失，任何人都可以通过开放的服务端口访问数据库中的内容。比较普遍的包括MongoDB服务（服务端口27017）和ElasticSearch服务（默认端口9300）。

由于大数据库内存储的信息量巨大，有些甚至可能涉及用户的隐私，一旦被人非法利用后果将非常严重。所以建议相关的数据库管理员应给予重视。

各类勒索病毒依然是近期新增病毒中需要关注的重点。值得注意的是勒索病毒的攻击目标已经有从低价值的个人用户向高价值的服务系统转变的趋势。从目前我们掌握的信息看，不仅仅是Windows系统，Linux系统和各类专有数据库系统也都有被勒索病毒加密数据的风险，病毒会利用系统或服务的漏洞获取系统权限并加密数据库中的重要数据，以达到勒索钱财的目的。

近期新增严重漏洞评述

微软9月的例行安全公告修复了其多款产品中存在的305个安全漏洞。

涉及Windows系统、IE浏览器、Edge浏览器、Office办公软件等。利用这些漏洞攻击者可以远程执行任意代码、权限提升，获取敏感信息或是进行拒绝服务攻击。建议用户尽快使用Windows系统自带的更新功能进行补丁更新。

需要额外提醒的是，在9月底，微软又追加发布了紧急安全公告，用于修补IE浏览器中存在的一个高危漏洞（CVE-2019-1367），该漏洞影响Win7/8.1/10系统中自带的所有版本IE浏览器。

漏洞主要是因为IE中的脚本引擎在内存中处理对象时存在缺陷导致的，利用该漏洞攻击者可以以当前用户的权限执行任意代码。目前微软已经针对该漏洞发布了补丁程序，建议用户尽快安装。

同时微软官方建议用户使用Edge浏览器替代IE浏览器，但是需要提醒的是如果系统中存在有漏洞的IE浏览器，即便不使用也可能存在被利用的风险，建议一定要进行升级。相关漏洞的详情请参见：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1367 。

Exim 4.92.1及其之前的版本中存在一个缓冲溢出漏洞。

Exim是类Unix系统下开源的MTA（邮件传输代理）服务程序，被广泛用来搭建邮件服务器。在默认配置下， TLS协商期间，攻击者通过发送以反斜杠空{ '\\', '\0' }序列结尾的SNI来利用此漏洞，由于系统函数不能有效处理\0，会造成越界读取。成功利用该漏洞，攻击者可以以root的身份在系统上执行任意命令。

目前Exim官方已经在最新版本4.92.2中修补了该漏洞，建议相关服务的管理员尽快根据自身情况进行更新。

安全提示

针对大数据平台可能泄漏数据信息的风险，建议学校加强对相关人员的安全教育，尽量做到以下几点：

1.数据库的服务端口如非特殊需要尽量不要对公网开放，如果必须要开放远程访问，请一定做好身份验证和访问控制。

2.测试系统中尽量使用测试数据而不是放入真实数据。正式系统中如果涉及用户隐私信息一定要做好安全措施，对于那些必须公开的信息，提前做好脱敏处理。

3.学校的网络安全管理员定期对学校范围内的相关数据库端口进行扫描和测试，以便够及时发现可能存在的风险。

（本文作者：郑先伟，单位为中国教育和科研计算机网应急响应组，全文刊载于《中国教育网络》杂志2019年10月刊；版式：刘芳）