建站
咨詢
售后
建站咨詢
新聞中心
Cyber News的一項調(diào)查研究顯示，全球多所頂尖高校的網(wǎng)站未能及時更新安全補丁，存在敏感信息泄露，甚至被攻擊者全面接管的風險。
我們提供的服務(wù)有：成都網(wǎng)站設(shè)計、成都網(wǎng)站建設(shè)、微信公眾號開發(fā)、網(wǎng)站優(yōu)化、網(wǎng)站認證、禹城ssl等。為上千多家企事業(yè)單位解決了網(wǎng)站和推廣的問題。提供周到的售前咨詢和貼心的售后服務(wù)，是有科學管理、有技術(shù)的禹城網(wǎng)站制作公司
Cyber News 研究團隊詳細調(diào)查了 20 個每月有數(shù)百萬訪問量的高校網(wǎng)站，其中至少有6個是位于全球Top 100的頂尖高校。研究人員表示，針對大學的攻擊歷來非常常見，包括了從學生試圖取消課程發(fā)起的 DDoS 攻擊到全面的勒索軟件攻擊。
安全級別不一定與高校的規(guī)模或重要性相關(guān)，因為規(guī)模較小和較大的高校都表現(xiàn)出類似的漏洞。雖然調(diào)查結(jié)果不包括任何未受保護的數(shù)據(jù)庫或一年多前的漏洞，但一些高校遲遲沒有應用安全更新。研究人員還發(fā)現(xiàn)了幾個關(guān)鍵漏洞和非常敏感的憑證被泄露。
研究發(fā)現(xiàn)，由于暴露的環(huán)境文件 (.env) 或遠程代碼執(zhí)行 (RCE) 漏洞，UTEL大學（墨西哥）、臺灣大學、瓦爾登大學、西印度群島大學（牙買加）、加州大學圣地亞哥分校泄露的信息可能導致網(wǎng)站被完全接管。
加州大學圣地亞哥分校的網(wǎng)站留下了數(shù)據(jù)庫憑據(jù)、Cloudflare 憑據(jù)、WordPress 憑據(jù)和電子郵件憑據(jù)可供獲取。攻擊者可以利用這些來接管網(wǎng)站、重定向到惡意服務(wù)器、從官方通信渠道進行網(wǎng)絡(luò)釣魚以及訪問用戶信息。
臺灣大學 (NTU) 的網(wǎng)站泄露了 JSON Web Token 機密、數(shù)據(jù)庫憑據(jù)和帶有用戶名的 git URL。這些都可能使攻擊者能夠劫持帳戶并獲得管理員訪問權(quán)限。
瓦爾登大學和西印度群島大學這兩所規(guī)模較小的大學的網(wǎng)站容易受到遠程代碼執(zhí)行的攻擊，從而可能導致網(wǎng)站被接管。
研究還發(fā)現(xiàn)另外8所高校：匹茲堡大學、不列顛哥倫比亞大學、安第斯大學（哥倫比亞）、自由大學、舊道明大學、范德比爾特大學、新罕布什爾大學泄露的憑證或漏洞利用可以獲取學生和教師的私人信息。
研究人員指出，他們的研究范圍并不詳盡，這也意味著所發(fā)現(xiàn)的漏洞和錯誤配置能夠被初級網(wǎng)絡(luò)攻擊者利用。為了進行更詳細的分析，需要進行更深入的滲透測試。
不應被公開的環(huán)境文件
環(huán)境文件不應讓外部人員訪問，因為這些文件是配置文件，通常包含 Web 應用程序使用的部分或全部第三方服務(wù)、數(shù)據(jù)庫和 API 憑證。攻擊者可能會使用暴露的憑證來訪問私有數(shù)據(jù)庫并濫用 API 函數(shù)。在某些情況下，泄露的憑證可能會導致整個網(wǎng)站遭到入侵。此外，Git 存儲庫配置文件的憑證在受損時（允許攻擊者下載和檢查網(wǎng)站的源代碼）應該重置。
而RCE 漏洞，例如 WSO2 Web 服務(wù)器 RCE 漏洞 (CVE-2022-29464) 和 Microsoft Exchange RCE 漏洞 (CVE-2023-21529)需要手動或自動修補，或更新 Microsoft Exchange 服務(wù)器。
研究人員發(fā)現(xiàn)，瓦爾登大學和西印度群島大學正在運行易受攻擊的 WSO2 Web 服務(wù)器版本，且這些服務(wù)器在一年多的時間內(nèi)沒有更新。其他大學，如范德比爾特大學、新罕布什爾大學和舊道明尼恩大學則延遲了一個多月才修補其 Microsoft Exchange 服務(wù)器的 RCE 漏洞。
關(guān)于泄露的憑證，研究發(fā)現(xiàn)，有兩所高校使用了給定軟件的默認憑證，5所大學使用了弱密碼，反映出這些高校在安全實踐上的不足，并暗示了用于其他應用程序的憑證也可能同樣使用了弱密碼。
來自部分高校的回應
Cybernews 聯(lián)系了研究中提到的所有大學。波特蘭州立大學在接到報告后解決了相應的漏洞問題。
匹茲堡大學回應稱，確保數(shù)據(jù)安全對學校至關(guān)重要，信息安全團隊在收到通知后立即采取措施修復了漏洞。
瓦爾登大學則稱他們沒有任何數(shù)據(jù)泄露或曝光，并表示自己擁有強大的監(jiān)控系統(tǒng)，致力于保護學生和教職員工的隱私和安全信息，定期進行軟件更新和掃描潛在漏洞，以確保不發(fā)生泄露。
網(wǎng)站標題：調(diào)查稱全球多所頂尖高校網(wǎng)站存在網(wǎng)絡(luò)攻擊風險
標題網(wǎng)址：http://m.5511xx.com/article/ccoscos.html
