研究人員發(fā)現(xiàn)，近一年來約50個美國政軍網(wǎng)站經(jīng)常出現(xiàn)色情和垃圾內(nèi)容，多次反饋下線又重新出現(xiàn)，包括參議員Jon Tester網(wǎng)站、明尼蘇達州國民警衛(wèi)隊網(wǎng)站等；

　　經(jīng)分析，這些網(wǎng)站都使用了同一個軟件Laserfiche Forms，該軟件的一個文件上傳漏洞遭大量利用，攻擊者可上傳發(fā)布不良內(nèi)容；

　　Laserfiche已發(fā)布清理工具和修復補丁，但還有部分版本目前沒有得到修復。

　　去年至今，多個使用。gov及。mil域名的美國政府和軍隊網(wǎng)站被發(fā)現(xiàn)托管有色情及垃圾內(nèi)容，其中包括偉哥廣告。

　　一位安全研究人員注意到，所有這些站點都使用著同一家軟件供應商。

　　色情美國

　　安全研究人員Zach Edwards發(fā)現(xiàn)，。gov及。mil域名中出現(xiàn)色情內(nèi)容問題的源頭是政府承包商Laserfiche提供的通用軟件產(chǎn)品。

　　Laserfiche目前為FBI、CIA、美國財政部、軍方及眾多其他政府機構(gòu)提供服務。

　　Laserfiche旗下的電子表格（Forms）產(chǎn)品存在一個漏洞，允許攻擊者在擁有良好信譽的政府網(wǎng)站上推送惡意與垃圾內(nèi)容。

　　可以看到，谷歌能夠索引出政府網(wǎng)站上的垃圾內(nèi)容

　　發(fā)現(xiàn)并披露該問題的Edwards表示，“這個漏洞給。gov與。mil域帶來了網(wǎng)絡釣魚誘餌，會將訪問者重新定向至惡意目的地，并可能配合其他漏洞共同發(fā)起攻擊。”

　　經(jīng)過一年多的漏洞追蹤，Edwards發(fā)現(xiàn)美國參議員Jon Tester的網(wǎng)站與明尼蘇達州國民警衛(wèi)隊站點都會將用戶跳轉(zhuǎn)至偉哥產(chǎn)品頁面。

　　他還分享了一段視頻，展示了該漏洞的實際效果，并表示他“大約在50個不同的政府網(wǎng)站子域上”發(fā)現(xiàn)了類似的情況。

　　這當然不是垃圾傳播分子的唯一獲利手段。此前，攻擊者還曾濫用國家氣象局等政府網(wǎng)站為了搜索引擎優(yōu)化而開放的重新定向功能，將用戶重新定向至色情網(wǎng)站。

　　Laiserfiche發(fā)布清理工具，

　　但部分版本并未得到修復

　　Laserfiche目前已經(jīng)發(fā)布了針對此項漏洞的安全公告，并給出網(wǎng)站垃圾內(nèi)容的清除說明。

　　根據(jù)Laserfiche公司的介紹，問題的根本原因在于未經(jīng)身份驗證的文件上傳漏洞。

　　Laserfiche Forms中包含一個具備文件上傳字段的公開表單。未經(jīng)身份驗證的外部人士可以訪問該表單，借此將文件上傳至其他用戶的Web門戶，這樣發(fā)布的內(nèi)容就能在網(wǎng)絡上接受臨時訪問。

　　該公司在安全公告中表示，“本公告中提及的漏洞已經(jīng)遭到某種方式的利用，未經(jīng)身份驗證的第三方可以使用Laserfiche Forms臨時托管并分發(fā)所上傳的文件。”

　　“有效的客戶表單提交數(shù)據(jù)并不受影響，第三方無法訪問這部分內(nèi)容。我們的安全更新縮短了臨時文件下載鏈接處于活動狀態(tài)的時長，從而解決了此項漏洞。”

　　目前似乎已經(jīng)有政府客戶在采取補救措施，前文提到的部分搜索結(jié)果（之前顯示為垃圾內(nèi)容）現(xiàn)在會通過Laserfiche Forms實例彈出錯誤：

　　訪問垃圾鏈接時，運行Laserfiche Forms的政府網(wǎng)站現(xiàn)在會彈出錯誤

　　但Edwards對這樣的結(jié)果并不滿意，因為Laserfiche出于種種原因沒能全面修復所有產(chǎn)品版本中的漏洞。

　　Laserfiche公司表示，“請注意，部分版本的更新目前尚未發(fā)布。”

　　“我們認為應抓緊時間向各解決方案供應商及客戶發(fā)布漏洞情況與可用更新。很快，針對部分Laserfiche Forms先前版本的安全更新就會公開發(fā)布。”

　　Laserfiche還發(fā)布了一款清理工具，可供客戶清除門戶網(wǎng)站中的未授權(quán)上傳內(nèi)容。