国产成人毛片毛片久久网_国产午夜激无码av毛片不_国产乱对白精彩在线播放_av资源站中文字幕_亚洲男人的天堂网站_国产成 人 综合 亚洲网_中国国产激情一区_少妇一级淫片免费放_亚洲一本大道av久在线播放_免费观看美女裸体网站

近日，騰訊主機(jī)安全（云鏡）捕獲到Y(jié)API遠(yuǎn)程代碼執(zhí)行0day漏洞在野利用，該攻擊正在擴(kuò)散。受YAPI遠(yuǎn)程代碼執(zhí)行0day漏洞影響，大量未部署任何安全防護(hù)系統(tǒng)的云主機(jī)已經(jīng)失陷。

為避免您的業(yè)務(wù)受影響，騰訊云安全建議您及時(shí)開展安全自查，如在受影響范圍，請您及時(shí)進(jìn)行更新修復(fù)，避免被外部攻擊者入侵。

漏洞詳情

YAPI接口管理平臺是國內(nèi)某旅行網(wǎng)站的大前端技術(shù)中心開源項(xiàng)目，為前端后臺開發(fā)與測試人員提供更優(yōu)雅的接口管理服務(wù)，該系統(tǒng)被國內(nèi)較多知名互聯(lián)網(wǎng)企業(yè)所采用。<br
YAPI使用mock數(shù)據(jù)/腳本作為中間交互層，其中mock數(shù)據(jù)通過設(shè)定固定數(shù)據(jù)返回固定內(nèi)容，對于需要根據(jù)用戶請求定制化響應(yīng)內(nèi)容的情況mock腳本通過寫JS腳本的方式處理用戶請求參數(shù)返回定制化內(nèi)容，本次漏洞就是發(fā)生在mock腳本服務(wù)上。由于mock腳本自定義服務(wù)未對JS腳本加以命令過濾，用戶可以添加任何請求處理腳本，因此可以在腳本中植入命令，等用戶訪問接口發(fā)起請求時(shí)觸發(fā)命令執(zhí)行。

風(fēng)險(xiǎn)等級

漏洞風(fēng)險(xiǎn)

影響版本

目前為0day狀態(tài)，官方暫未發(fā)布補(bǔ)丁，影響所有版本

安全版本

目前為0day狀態(tài)，官方暫未發(fā)布補(bǔ)丁

修復(fù)建議

該漏洞暫無補(bǔ)丁，建議受影響的用戶參考以下方案緩解風(fēng)險(xiǎn)：
1.部署騰訊云防火墻實(shí)時(shí)攔截威脅；
2.關(guān)閉YAPI用戶注冊功能，阻斷攻擊者注冊；
3.刪除惡意已注冊用戶，避免攻擊者再次添加mock腳本；
4.刪除惡意mock腳本，防止被再次訪問觸發(fā)；

【備注】：建議您在升級前做好數(shù)據(jù)備份工作，避免出現(xiàn)意外

- 騰訊云防火墻已支持檢測攔截利用YAPI接口管理平臺遠(yuǎn)程代碼執(zhí)行漏洞發(fā)起的攻擊活動。騰訊云防火墻內(nèi)置虛擬補(bǔ)丁防御機(jī)制，可積極防御某些高危且使用率很高的漏洞利用。

- 已部署騰訊主機(jī)安全（云鏡）的客戶可以通過高危命令監(jiān)控發(fā)現(xiàn)，騰訊主機(jī)安全（云鏡）可對攻擊過程中產(chǎn)生得木馬落地文件進(jìn)行自動檢測，客戶可登錄騰訊云->主機(jī)安全控制臺，檢查病毒木馬告警信息，將惡意木馬一鍵隔離或刪除�？蛻艨赏ㄟ^騰訊主機(jī)安全的漏洞管理、基線管理功能對網(wǎng)絡(luò)資產(chǎn)進(jìn)行安全漏洞檢測和弱口令檢測。

- 私有云客戶可通過旁路部署騰訊高級威脅檢測系統(tǒng)（NTA、御界）進(jìn)行流量檢測分析，及時(shí)發(fā)現(xiàn)黑客團(tuán)伙利用漏洞對企業(yè)私有云的攻擊活動。騰訊高級威脅檢測系統(tǒng)（NTA、御界）可檢測到利用YAPI接口管理平臺遠(yuǎn)程代碼執(zhí)行漏洞發(fā)起的惡意攻擊活動。

- 企業(yè)客戶可通過旁路部署騰訊天幕（NIPS）實(shí)時(shí)攔截利用YAPI接口管理平臺遠(yuǎn)程代碼執(zhí)行漏洞的網(wǎng)絡(luò)通信連接，徹底封堵攻擊流量。騰訊天幕（NIPS）基于騰訊自研安全算力算法PaaS優(yōu)勢，形成具備萬億級海量樣本、毫秒級響應(yīng)、自動智能、安全可視化等能力的網(wǎng)絡(luò)邊界協(xié)同防護(hù)體系。