Apache 服务器存在高危提权漏洞；流行 Ruby 库曝出恶意后门，作者未知

(给技术最前线加星标，每天看技术热点)

转自：开源中国、solidot、cnBeta、腾讯科技、快科技等

0、Apache 服务器存在高危提权漏洞，请升级至最新版本 2.4.39

Apache HTTP 服务器于4月1日发布了最新的稳定版本 2.4.39，主要是修复安全问题。

在发布更新不久后，安全研究人员 Charles Fol 便在其博客发布了关于 Apache 服务器一个本地提权漏洞的详细介绍。

Charles Fol 对 Apache 团队处理问题的效率也十分赞赏。他表示自己在2019年2月22日通过电子邮件提交了漏洞，2月25日开发团队就确认了漏洞的存在，并开始着手修复。到了3月7日，Apache 安全团队发送补丁给 Charles 审查并分配了 CVE 编号；3月10日，Charles 批准了这个补丁，最后4月1日 Apache 发布修复了漏洞的 2.4.39 版本。

据介绍，这个漏洞所影响的版本十分广泛，涉及到从 2.4.17(2015.10.9) 到 2.4.38(2019.4.1) 的所有版本。

编号为 CVE-2019-0211 的漏洞是一个本地提权漏洞，该漏洞允许拥有有限权限的用户或软件获得 Web Server 的 root 权限。如果被攻击者成功提权，他将拥有 Web Server 的完整访问权限，在服务器进出自如。

受该漏洞影响最大的是提供共享实例的 Web 托管商。因为 Web 托管商的一台服务器通常会提供给多个网站使用，而此类服务器一般会阻止一个网站的管理员访问另一个网站，或访问机器的敏感设置。

Charles Fol 表示过段时间会公布关于 CVE-2019-0211 的漏洞利用案例。

1、流行 Ruby 库曝出恶意后门代码，作者未知

流行的 Ruby 库 Bootstrap-Sass 曝出后门代码。

Bootstrap-Sass 是一个流行的 Ruby UI 框架，它为开发人员提供了一个 Sass 版本的 Bootstrap。据 ZDNet 的报导，上周三，开发者 Derek Barnes 在该库 3.2.0.3 版本中发现后门代码，这一小段具有恶意性质的代码如上图所示，它嵌入 Ruby 或 Ruby on Rails 之后，会加载一个 cookie 文件并执行其内容。   

据统计，虽然 Bootstrap-Sass 的安装量达到 2800 万，但是此后门版本仅有 1477 次安装，因为该库的最新版本是 3.4.1，而很少有开发者在使用旧版本分支，这一点提供了有效的安全保障。

报告公开的同一天该后门已经从 RubyGems 中删除，Bootstrap-Sass 团队还撤销了对 RubyGems 的访问权限，因为开发人员认为他们的帐户遭到入侵并被用来推送恶意代码。

此外，RubyGems 和 GitHub 上也发布了 Bootstrap-Sass v3.2.0.4 版本，完全删除了后门的相关内容。

2、友讯路由器 DNS 流量遭黑客劫持

过去三个月，黑客组织利用友讯科技等公司路由器固件的已知漏洞，悄悄修改路由器的 DNS 设置，在用户访问合法网站时返回会错误的 IP 地址，将其重定向到钓鱼网站，窃取登陆凭证。

受影响的路由器型号包括 D-Link DSL-2640B、D-Link DSL-2740R、D-Link DSL-2780B、D-Link DSL-526B、ARG-W4 ADSL、DSLink 260E，以及 Secutech 和 TOTOLINK 路由器。安全研究人员 Troy Mursch 观察到了三波攻击，分别发生在 2018 年 12 月，2019 年 2 月初和 2019 年 3 月下旬。

觉得这些资讯有帮助？请转发给更多人

关注 技术最前线 加星标，看 IT 要闻

喜欢就点一下「好看」呗~