安全漏洞公告

发布时间：

2014-04-07

漏洞编号：

CVE(CAN) ID: CVE-2014-0160

漏洞描述：

OpenSSL是一种开放源码的SSL实现，用来实现网络通信的高强度加密，现在被广泛地用于各种网络应用程序中。OpenSSL TLS心跳扩展协议的实现上存在边界检查漏洞，远程无需验证的攻击者可以利用此漏洞导致泄漏64K的内存到连接的客户端或服务器，造成敏感信息的泄露。仅 OpenSSL的1.0.1及1.0.2-beta版本受到影响，包括：1.0.1f及1.0.2-beta1版本。TLS心跳由一个请求包组成，其中包括有效载荷（payload），通信的另一方将读取这个包并发送一个响应，其中包含同样的载荷。在处理心跳请求的代码 中，载荷大小是从攻击者可控的包中读取的。由于OpenSSL并没有检查该载荷大小值，从而导致越界读，造成了敏感信息泄漏。泄漏的信息内容可能会包括加 密的私钥和其他敏感信息例如用户名、口令等。

安全建议：

Openssl已经发布了Openssl 1.0.1g修复此问题，:https://www.openssl.org/news/secadv_20140407.txthttp://git.openssl.org/gitweb/?p=openssl.git;a=commit;h=96db9023b881d7cd9f379b0c154650d6c108e9a3对于OpenSSL 1.0.2 Releases, 厂商表示将会在1.0.2-beta2中修复。主流Linux发行版也已经发布相关补丁，请尽快升级。

发布时间：

2014-04-10

漏洞编号：

BUGTRAQ ID: 66614CVE(CAN) ID: CVE-2014-1757

漏洞描述：

Microsoft Word 是微软公司的一个文字处理软件。Microsoft Office软件转换特制文件时存在远程代码执行漏洞，成功利用此漏洞的攻击者可利用此漏洞以当前用户权限执行任意代码。

安全建议：

Microsoft已经为此发布了一个安全公告（MS14-017）以及相应补丁:MS14-017：Vulnerabilities in Microsoft Word and Office Web Apps Could Allow Remote Code Execution (2949660)链接：http://technet.microsoft.com/security/bulletin/MS14-017

发布时间：

2014-04-10

漏洞编号：

BUGTRAQ ID: 66619CVE(CAN) ID: CVE-2014-0315

漏洞描述：

Windows是一款由美国微软公司开发的窗口化操作系统。受影响操作系统的"CreateProcess()"函数在处理'.bat'和'.cmd'类型文件的的操作时没有正确地限制文件路径，攻击者利用该漏洞可以获得代码执行能力。

安全建议：

Microsoft已经为此发布了一个安全公告（MS14-019）以及相应补丁:MS14-019：Vulnerability in Windows File Handling Component Could Allow Remote Code Execution (2922229)链接：http://technet.microsoft.com/security/bulletin/MS14-019

发布时间：

2014-04-09

漏洞编号：

BUGTRAQ ID: 66596CVE ID:CVE-2014-0093

漏洞描述：

JBoss企业应用平台（JBoss Enterprise Application Platform，EAP）是J2EE应用的中间件平台。Red Hat JBoss Enterprise Application Platform (JBEAP)6.2.2版本中存在安全漏洞。当使用Java Security Manager (JSM)时，程序未能正确通过策略文件应用权限，导致应用程序被授予java.security.AllPermission权限，远程攻击者可利用漏 洞绕过既定的访问限制。

安全建议：

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：http://www.redhat.com/products/jbossenterprisemiddleware/application-platform/

发布时间：

2014-04-09

漏洞编号：

OSVDB:103266

漏洞描述：

IBM Lotus Notes是桌面客户端，为用户提供了单点访问功能，有助于他们创建、查询和共享知识，与团队协作，以及采取相应措施。IBM Lotus Notes Sametime用户信息搜索JSON响应存在用户枚举漏洞。由于当用有效的信息提供JSON响应返回用户的信息，远程攻击者可以枚举有效用户，并取得他们的详细资料。

安全建议：

目前没有详细解决方案提供：http://www.ibm.com