虚拟化平台软件安全需重点关注

近期新增严重漏洞评述：

　　1.微软例行安全公告共修复了微软旗下多款产品中存在的89个安全漏洞，涉及Windows操作系统、Office办公软件等多个产品。

　　其中需要关注的是Windows TCP/IP远程代码执行漏洞（CVE-2020-16898），Windows系统在TCP/IP协议实现过程中存在缺陷，攻击者可以构造并发送恶意的ICMPv6（路由通告）数据包在系统上执行任意代码，从而完全控制相关系统。

　　基于上述漏洞的危害，建议用户尽快使用系统自带的安全更新功能进行自动更新。

　　2. Oracle发布了2020年四季度的安全更新，修复了其多款产品存在的402个安全漏洞。

　　受影响的产品包括：

　　Oracle Database Server数据库（18个）

　　Oracle Big Data Graph（1个）

　　Oracle REST Data Services（5个）

　　Oracle TimesTen In-Memory Database（4个）

　　Oracle Communications Applications（9个）

　　Oracle Communications（52个）

　　Oracle Construction and Engineering（9个）

　　电子商务套装软件Oracle E-Business Suite（27个）

　　Oracle Enterprise Manager（11个）

　　Oracle Financial Services Applications（53个）

　　Oracle Food and Beverage Applications（4个）

　　中间件产品Fusion Middleware（46个）

　　Oracle GraalVM（1个）

　　Oracle Health Sciences Applications（4个）等

　　这其中需要特别关注的是WebLogic的系列漏洞（CVE-2020-14825、CVE-2020-14841、CVE-2020-14882），WebLogic是Oracle公司的一个轻量化的开发平台，支持应用从开发到生产的整个过程管理，WebLogic的T3和IIOP协议中存在安全漏洞，可能导致远程代码执行。建议相关的管理人员尽快根据自身的使用情况进行安全更新。

　　3. Vmware ESXi是目前使用最为广泛的虚拟化平台软件之一。

　　Vmware ESXi存在一个可以远程代码执行的安全漏洞，攻击者可通过访问ESXi宿主机上的427端口触发OpenSLP服务中的“use-after-free ”，从而导致远程代码执行，获取服务器系统权限，最终控制目标服务器。

　　ESXi6.5、ESXi6.7、ESXi7.0、VMware Cloud Foundation (ESXi) 3.x、VMware Cloud Foundation (ESXi) 4.x均受次漏洞的影响。

　　目前Vmware厂商已经在最新版本中修补了上述漏洞，建议ESXi的使用者尽快将自己的ESXi版本升级到最新。

　　4. Adobe发布了安全更新，以解决Adobe Flash Player中存在的一个远程代码执行漏洞（CVE-2020-9746），攻击者可以通过诱骗受害者访问特定网站并简单地在HTTP响应中插入恶意字符串来利用此漏洞，从而以当前用户的身份执行任意代码。

　　目前官方已经在Flash Player 32.0.0.445版本中修补了相关的漏洞，建议用户尽快进行更新。需要提醒的是，Adobe将于2020年12月31日后停止对Flash Player的产品更新和支持。

　　安全提示

　　虚拟化已经是当前网络应用的基础，它大大降低了运维的成本，提升了资源的利用效率。

　　因此虚拟化平台本身的安全也已经成为当下关注的重点，提供底层虚拟化平台的软件一旦出现安全问题，可能影响到平台上所有的系统安全。

　　做好底层平台的安全措施（如不要把平台暴露在公共网络中），并及时更新平台软件的版本是安全基本要求。