距离大年三十只有一天了，各位共和国的网络安全战士还在坚守岗位，认真挖洞吗？

2018年又是漏洞丰收的一年，大大小小、形形色色的漏洞数不胜数。从常见的应用程序、开发框架、底层 组件，再到操作系统、网络设备、虚拟化产品，都爆发过各种各样的漏洞。

而面对充满挑战的2019年，似乎更需要从过去一年挖漏中汲取经验，宅客频就在《2018长亭安全漏洞观察年度报告》中截取了代表性漏洞进行回顾。

两个思科网络设备远程代码执行漏洞

思科ASA防火墙webvpn远程代码执行漏洞

2018年1月29日，思科官方发布安全公告，修复了存在于ASA系列防火墙中的一个远程代码 执行漏洞(CVE-2018-0101)。该漏洞由英国安全公司NCC Group的安全研究员Cedric Halbronn报告。

CVE-2018-0101是一个二次释放(Double Free)漏洞。当ASA设备启用webvpn 功能时，未经认证的攻击者通过发送恶意XML数据包，即可在受影响的目标设备上执 行恶意代码。

思科Smart Install远程代码执行漏洞

2018年3月28日，思科官方再次发布安全公告，针对Smart Install远程代码执行漏洞(CVE- 2018-0171)进行了修复。该漏洞由安全公司Embedi的研究人员通过2017年的GeekP- wn破解大赛提交给厂商。

Smart Install是思科网络设备中用于实现即插即用配置和镜像管理等功能的协议，使用时通常监听在TCP端口4786。思科IOS软件在处理该协议时存在缓冲区溢出漏洞，攻击者无需经过认证，就可以通过构造畸形的数据包在未修复的设备上实现远程代码执行。

Ghostscript多个沙盒绕过漏洞

Ghostscript是PostScript和PDF的解析器，它被许多图片处理库所使用，如 ImageMagick、Python PIL等。默认情况下这些图片处理库会根据图片的内容将其分发给不同的处理方法，其中就包括Ghostscript。

Ghostscript作为各种常见图像处理库的底层组件，一旦出现安全问题，势必造成灾难性的危害。比如攻击者仅仅通过上传一张恶意图片，就可以在依赖Ghostscript进行图像处理的网站服务器上执行任意代码。

其实早在2016年时，ImageMagick就出现过命令执行漏洞(CVE-2016-3714)， 当时就导致国内诸多厂商及开源程序中招，并且许多厂商因此遭受严重损失。

而在2018年，Ghostscript屡次爆发的沙盒绕过安全问题，也会影响到Image- Magick等各种上层组件，让人头疼不已。对于企业来说，最好的办法是提前进行加固，在确定不影响业务的情况下卸载Ghostscript。

WebLogic多个远程代码执行漏洞

WebLogic是Oracle公司出品的一个基于JavaEE架构的中间件服务器，用于开发、 集成、部署和管理大型分布式Web应用、网络应用和数据库应用。

WebLogic支持多种通信协议，其中包括HTTP和T3协议，并且它们都共用同一个端口(默认监听端口为7001)。其中T3协议基于Java序列化机制来传输对象，并且Web- Logic使用黑名单对反序列化的类进行过滤。

2018年，WebLogic又被曝光出多个反序列化漏洞。攻击者通过利用黑名单外的 类构造恶意的序列化对象，通过T3协议发送到服务端，服务端在反序列化解析处理时，即会执行攻击者指定的恶意代码。

WebLogic通过T3协议进行构造利用的反序列化漏洞，可以统一通过禁用T3协议来 解决。但除了反序列化漏洞，更令人惊讶的是WebLogic中竟然还存在着任意文件上传漏 洞(CVE-2018-2894)，攻击者可以直接在未授权的情况下访问WebLogic Web服务 测试客户端的配置页面，上传恶意JSP脚本文件，从而造成恶意代码执行。由于文件上传漏洞存在于HTTP Web服务中，因此仅仅通过禁用T3协议并不能起作用。

VMware ESXi虚拟机逃逸漏洞

2018年11月9日，VMware官方发布安全通告，针对系列高危漏洞(CVE-2018-6981、 CVE-2018-6982)进行了修复。这次修复的漏洞主要包括两个虚拟机逃逸漏洞，不止影响VMware ESXi，也同时影响VMware Workstation 和VMware Fusion。

VMware ESXi是VMware开发的企业级1类hypervisor，用于部署和服务虚拟机，也是VMware企业私有云服务中直接与硬件交换的一层。该平台使用了VMware自己开 发的VMkernel用于构建更快速和更安全的虚拟化环境。

漏洞源于VMware ESXi、Fusion和Workstation在vmxnet3虚拟网络适配器中存在 未初始化的栈内存使用，该问题可能导致guest虚拟机在宿主机上执行代码。启用了vmxnet3网卡的虚拟机将会出现此问题，未使用则不受此漏洞影响。

BleedingBit蓝牙芯片远程代码执行漏洞

2018年11月2日，来自Armis的安全研究人员发布文章，指出他们在由德州仪器(TI)生产的 BLE(Bluetooth Low Energy)芯片中，发现了两个远程代码执行漏洞(CVE-2018-16986、 CVE-2018-7080)。