在本周的文摘中，我们将讨论。
- WPGateway WordPress 插件中的零日漏洞
- Visual Studio 代码权限提升漏洞
- Snyk《2022 年云安全状况报告》中的亮点
WPGateway 插件中的零日问题
CVE-2022-3180是WordPress高级插件WPGateway最新版本中的一个零日漏洞，目前正在被恶意利用，恶意行为者有可能完全接管受影响的网站。该漏洞的 CVSS 得分为 9.8，WordPress 安全公司 Wordfence 指出，该漏洞正被用于向运行 WPGateway 插件的网站添加恶意管理员用户。
如何检查网站是否被入侵：
- 最常见的指标是出现一个用户名为 "rangex "的管理员。
- 另一种检测网站是否被入侵的方法是查看访问日志中是否出现对"//wp-content/plugins/wpgateway/wpgateway-webservice-new.php?wp_new_credentials=1 "的请求，尽管这并不一定意味着入侵成功。
Wordfence 拒绝透露有关该漏洞的更多细节，原因是该漏洞会被利用，同时也是为了防止恶意行为者利用该漏洞。它还建议用户从 WordPress 中移除该插件，直到有补丁可用。
Visual Studio 代码权限提升
CVE-2022-38020是 VS Code v1.71.0 及更早版本中存在的权限提升漏洞，在共享 Windows 机器上，低权限攻击者可在检测到终端配置文件的位置创建bash.exe可执行文件。被检测到的配置文件会显示在终端配置文件列表中，易受攻击的用户可以轻松运行。有关路径如下
- C:\Cygwin64\bin\bash.exe
- C:\Cygwin\bin\bash.exe
- C:\ProgramData\scoop\apps\git-with-openssh\current\binbash.exe
该修复从 VS Code 1.71.1 版开始提供。该修复程序(0b356bf) 通过从终端配置文件检测功能中完全移除这些路径，缓解了这一攻击。还可采用其他变通方法，包括避免运行机器上未安装的终端配置文件。管理员或许可以锁定相关文件夹。
Snyk 公司《2022 年云安全状况报告》的亮点
- 80% 的组织在去年经历了严重的云安全事件。
- 快速成长型初创企业的情况最差，89% 的企业受到了影响。公共部门实体（政府和非营利机构）的情况几乎相同。
- 在基于使用案例的事件中：在过去一年中，主要将云作为托管从数据中心迁移过来的应用程序的平台的公司报告了严重的云安全事件（89%），而使用云托管第三方应用程序的公司报告云事件的比例为 78%，将云作为运行和构建内部应用程序的平台的团队报告云事件的比例为 73%，这可以解释为对环境有更多的可见性和控制。
- 基础架构即代码（IaC）安全性为团队提供了在 SDLC 早期（部署前）验证云基础架构安全性的机会，这可以节省时间并减少运行时错误配置问题的发生频率。
- IaC 安全性可减少 70% 的错误配置，在提高生产率和部署速度方面，IaC 安全性的投资回报率中位数为 70%。
- 提高云安全的五项建议：
- 了解您的环境：了解云环境中运行的每个资源、每个资源的配置方式以及它们之间的关系。
- 注重预防和安全设计：避免云计算漏洞的方法是预防使其成为可能的条件，包括资源配置错误和架构设计缺陷。
- 让云计算开发人员能够安全地构建和运行：随着基础架构即代码的应用成为主流，云计算工程师需要一些工具，以便在 SDLC 的设计和开发阶段确保安全。
- 使用 "策略即代码"（PAC）进行调整和自动化：当安全策略仅用人类语言表达并存在于 PDF 文档中时，这些策略还不如不存在。
- 衡量重要因素，实现云安全的可操作性：云安全涉及操作规范和正确的流程。
SNYK 报告全文：点击此处查看《2022 年云安全状况》报告全文。
注释