悬镜安全 | 第九期 全球一周安全情报（9.17-9.23）

纵观全球态势，感知安全天下。悬镜安全精心筛选过去一周全球安全大事。

1、My Cloud被发现特权提升漏洞

研究人员发现了西部数据My Cloud平台中的一个特权提升漏洞CVE-2018-17153，攻击者可利用该漏洞通过HTTP请求获得对设备的管理级访问权限，从而运行命令、访问存储的数据、修改/复制数据以及擦除NAS。对My Cloud设备的身份验证过程会生成绑定到用户IP地址的服务器端会话。完成此步骤后，可以通过在HTTP请求中发送cookie“username = admin”来调用经过身份验证的CGI模块。

一年多前，就有研究人员提出这个漏洞，但该公司拒绝承认或解决该问题。研究人员表示黑客很可能利用西部数据的产品漏洞进行勒索活动，并建议使用NAS设备的用户启用自动更新并且不要直接将设备暴露在互联网上。

原文链接：https://www.bleepingcomputer.com/news/security/my-cloud-nas-devices-vulnerable-to-auth-bypass-for-over-a-year/

2、美国国务院遭遇数据泄露

据报道，美国国务院的云托管非机密电子邮件系统最近遭到了破坏，目前还不清楚国务院是否能够确定袭击背后的网络犯罪分子的身份。美国国务院的员工在9月7日收到内部通知，告知他们有关违规的情况。一些员工的个人身份信息（PII）暴露，国务院