共用软件现漏洞未修复，一年来美国数十个政府网站在推送色情广告

news/2024/5/12 16:36:15/文章来源:https://blog.csdn.net/smellycat000/article/details/120376126

聚焦源代码安全，网罗国内外最新资讯！

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

自去年，使用 .gov 和 .mil 域名的多个美国政府站点都托管着色情和垃圾内容。安全研究员 Zach Edwards 分析后发现这些网站共用一个软件厂商。

“色情合众国”

Edwards 发现这些 .gov 和 .mil 域名都在使用政府承包商 Laserfiche 提供的同一款软件产品。Laserfiche 向FBI、CIA、美国财政部、军方和其它政府机构提供服务。它们使用的同一款产品是 Laserefiche Forms，该产品含有一个漏洞可导致威胁行动者在政府网站推送恶意和垃圾内容。

Edwards 指出，“这个漏洞在 .gov和.mil 域名中创建钓鱼诱饵，向访客推送恶意重定向，并可能利用其它 exploit 攻击受害者。一年来，他一直都在追踪该缺陷，比如看到美国参议员 Jon Tester 和明尼苏达州国民卫队向用户发送伟哥产品页面。他分享漏洞演示视频指出，”很可能在50个不同的政府子域名中“看到这种行为。

而这并非垃圾推送人员利用的唯一攻击向量。此前，攻击者滥用政府网站的开放重定向功能提高自己的内容搜索排名并将用户重定向至色情网站。

发送清理工具但并未修复所有版本

Laserfiche 公司目前已发布关于该漏洞的安全公告，并给出如何清理网站上的垃圾内容指南。

该公司指出，问题的根因在于一个未认证的文件上传漏洞。Laserfiche Forms 包含一个公开表格，其中一个字段是文件上传。未认证行动者可访问该字段，将文件上传至用户的web门户并使内容可在webi临时访问。

该公司发布安全公告指出，“安全公告中说明的漏洞已被利用，未认证第三方可使用 Laserfiche Forms 临时托管文件以分发。有效的客户表单提交数据不受影响且第三方无法访问。安全更新减少了临时文件下载链接活跃的地方的时间框架，修复该漏洞。“

某些政府客户似乎已按照修复步骤，之前访问搜索结果显示的是垃圾内容，而现在却抛出Laserfiche Forms 实例错误信息。

然而，Edwards 并不满意这样的结果，因为 Laserfiche 并未修复仍在广泛使用的产品的所有版本。Laserfiche 公司指出，“请注意，并非更新的所有版本均可立即使用。我们认为有必要通知解决方案提供商和客户关于该漏洞的情况以及当前可用的更新情况。Laserfiche Forms 之前版本的安全更新将于不久后发布。”

Laserfiche 公司已发布清理工具，供客户检测越权上传到网站的内容。

【开奖啦！！！！！】

限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市

上次的限时赠书活动中奖名单已出炉，恭喜以下同学中奖，请未填写地址的同学在微信后台私信地址，我们已经发出部分书籍啦。

@whyseu @。@HFwuhome@惊蛰 @nimo @XuZ @淡然 @Marco韬 @王孟 @Wecat@nwnλ @MOBE @湘北二两西香葱@※ @搬砖小土妞@云烟过眼 @r00t@小风 @傲雪@最好走的路是套路 @Zhao.xiaojun @浅笑淡然 @X-Star @Erick2013 @小秦同学 @X @王骏 @欢寻 @nbp@Mr. Guo

大家可移步京东电子工业出版社一睹为快！或直接点击“原文链接”购买。