安全通告（2017年11月简报）

本期安全公告发布2017年11月的病毒威胁、系统漏洞和国内外安全动态等。请用户及时更新杀毒软件病毒库并且访问各厂商站点获取并安装各漏洞的补丁或升级程序。 

关于惠普笔记本电脑键盘驱动存在记录器后门漏洞的安全公告

近日，国家信息安全漏洞共享平台（CNVD）收录了惠普笔记本电脑键盘驱动存在的记录器后门漏洞（CNVD-2016-00711）。攻击者利用该漏洞可以监视用户并获取敏感信息。

一、漏洞情况分析

近日，安全研究人员发布公告称惠普笔记本电脑键盘驱动存在的记录器后门漏洞，键盘记录代码出现在SynTP. sys文件中，是“Synaptics”触摸板驱动程序的一部分，它可以驱动一些HP笔记本模型。默认情况下，日志是禁用的，但可以通过设置注册表值来启用，注册表键为:

HKLM\Software\Synaptics\%ProductName%HKLM\Software\Synaptics\%ProductName%\Default

恶意软件的开发者可以通过修改注册表键值来启用键盘记录行为，并使用原生本地内核签名工具监视用户，这些工具无法被安全产品检测到。 CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

惠普已经发布了一份受影响笔记本电脑的列表，包括固件更新的链接，共有475个型号，包括303个用户笔记本和172个商业笔记本移动客户端和移动工作站。受影响的产品系列包括HP's 25*, mt**, 15*, OMEN, ENVY, Pavilion, Stream, ZBook, EliteBook系列，以及Compaq产品。

详情请参考惠普官网链接：

https://support.hp.com/us-en/document/c05827409

三、漏洞修复建议

惠普已经发布了数百个笔记本的驱动程序更新，以删除攻击者可能作为键盘记录器组件被滥用的调试代码，详情请参考官网链接：

https://support.hp.com/us-en/document/c05827409

关于Apache Struts2存在S2-054拒绝服务漏洞与S2-055反序列化漏洞的安全公告

近日，国家信息安全漏洞共享平台（CNVD）收录了 Apache Struts2的两个中危漏洞，分别是：S2-054拒绝服务漏洞（CNVD-2017-35898，对CVE-2017-15707），S2-055反序列化漏洞（CNVD-2017-27693，对应CVE-2017-7525）。攻击者可利用上述漏洞对目标系统进行Dos攻击或反序列化代码执行攻击。

一、漏洞情况分析

Apache Strusts 官方发布了Struts2的两个中危漏洞，漏洞信息如下：

S2-054拒绝服务漏洞：ApacheStruts REST插件使用了过时的JSON-lib库，击者可以通过构造特制的JSON恶意请求造成DOS攻击。

 S2-055反序列化漏洞：由于ApacheStruts调用了存在反序列化漏洞的Jackson JSON库，导致了反序列化漏洞的产生。

二、漏洞影响范围

Struts 2.5 – Struts 2.5.14

三、防护建议

S2-054修复建议：

方法一：升级到Apache Struts版本2.5.14.1。

方法二：使用Jackson处理程序替换默认的JSON-lib处理程序，替换方法：

http://struts.apache.org/plugins/rest/#use-jackson-framework-as-json-contenttypehandler

S2-055修复建议：

方法一：升级到Apache Struts版本2.5.14.1。

方法二：手动将项目中的com.fasterxml.jackson升级到版本2.9.2，详情参考：

https://github.com/FasterXML/jackson-databind/issues/1599#issuecomment-342983770