跳到主要内容
博客安全性Linode 安全摘要 2021 年 10 月 31 日 - 11 月 7 日

2021年10月31日至11月7日Linode安全摘要

Linode安全摘要

本周,我们将回顾 Unicode 漏洞,它允许对代码进行恶意编码,使其在编译器和人眼看来有所不同。我们还将讨论容器安全和一个我们认为需要关注的 WordPress 插件漏洞。

木马源 (CVE-2021-42574)

剑桥大学的两位研究人员最近发表的一篇论文表明,在代码中使用独特的 Unicode 方向性覆盖字符可能会导致人类读者误认为代码是安全的,同时允许恶意行为者在代码库中引入逻辑更改。研究人员创建了一个GitHub 存储库,演示如何在不同的编程语言中使用这些字符。

#!/usr/bin/env python3

def sayHello():
    print("Hello, World!")

def sayHello():
    print("Goodbye, World!")

sayHello()

你能知道哪个函数会运行吗?编译器可以!

这个问题可能会产生多种安全影响。恶意代码可能会被引入原本看起来安全的公共存储库,用于供应链攻击。从公共论坛复制的代码也可能包含这些恶意逻辑修改。论文中提到,大多数编译器都容易受到这些问题的影响,尽管一些社区已经承认了这一问题(参见RustGitHub),但众所周知,大多数编译器仍然容易受到影响。

容器安全的最佳实践

根据Docker 的说法,容器是一个标准的软件单元,将代码及其所有依赖项打包。应用程序可以从一个计算环境快速、可靠地运行到另一个计算环境。这样就可以在不同的主机操作系统上部署应用映像,而无需进行更改。虽然这些容器映像与底层操作系统是隔离的,但根据sysdig 的《容器安全综合指南》,容器内部可利用的漏洞可能会危及整个云基础设施。根据2020 年云原生计算基金会(CNCF)的调查,生产中使用容器的比例已增至 92%,这意味着确保这些实例的安全比以往任何时候都更加重要。

我们提供了自己的容器安全指南,其中进一步详细介绍了如何使用推荐的工具和程序来构建安全的 Docker 映像。我们建议您遵循这些最佳实践,以更好地保护您的容器:

  • 定期更新镜像,减少容器中的漏洞数量。 
  • 经常使用Trivy 等漏洞扫描工具扫描漏洞,Trivy 是一款免费的开源工具。
  • 为运行容器创建有限用户,尽可能避免以根用户身份运行容器。在使用容器时,必须遵循最小权限原则。
  • 限制容器使用的 CPU 和 RAM。硬件使用限制可大大降低攻击者在特定容器上进行加密挖矿的能力。这也有利于通过减少为容器分配的不必要资源来提高性能。

最后,您可以查看开放式网络应用程序安全项目(OWASP)提供的Docker 安全手册,快速了解这一主题。

OptinMonster WordPress 插件 (CVE-2021-39341)

根据该插件的 WordPress 页面介绍,OptinMonster 是一款帮助用户创建弹出式窗口以实现读者订阅的插件。截至本文撰写之时,它的活跃安装量已超过一百万。

该插件使用API 端点运行。根据WordFence文章,这些API 端点大多存在漏洞,未经身份验证的攻击者可以导出敏感信息,并向使用该插件的 WordPress 网站注入恶意 JavaScript 代码。该插件 2.6.4 之前的版本会受到这些攻击,因此强烈建议将该插件更新到最新版本。OptinMonster 团队已经重置了被攻击的API 密钥,用户可能需要重新生成他们的API 密钥才能继续使用该插件。

通过编写这些摘要,我们希望与读者分享有用的信息。如果您学到了新知识,欢迎在下方留言,并随时关注有关安全的最新消息。


注释

留下回复

您的电子邮件地址将不会被公布。 必须填写的字段被标记为*