首页 >> 网络安全 >>漏洞利用 >> CISA 在其积极利用的漏洞目录中增加了另外 95 个漏洞
详细内容

CISA 在其积极利用的漏洞目录中增加了另外 95 个漏洞

时间:2022-03-19     作者:拉维·拉克什马南【转载】   阅读

美国网络安全和基础设施安全局 (CISA) 本周在其已知利用漏洞目录中增加了 95 个安全漏洞,使积极利用的漏洞总数达到 478 个。该机构在 2022 年 3 月 3 日发布的一份咨询报告中表示: “这些类型的漏洞是恶意网络行为者的常见攻击媒介,并对联邦企业构成重大风险。”新增的95个漏洞中,思科漏洞38个,微软27个,Adobe 16个,Oracle影响7个,Apache Tomcat、ChakraCore、Exim、Mozilla Firefox、Linux Kernel、西门子SIMATIC CP、Treck TCP各1个/IP 堆栈。


列表中包括在 Cisco RV 路由器中发现的五个问题,CISA 指出这些问题正被用于实际攻击。这些漏洞于上月初曝光,允许以 root 权限执行任意代码。


其中三个漏洞——CVE-2022-20699、CVE-2022-20700 和 CVE-2022-20708——在 CVSS 评级量表中被评为 10 分(满分 10 分),使攻击者能够注入恶意命令、提升 root 权限并运行易受攻击的系统上的任意代码。


CVE-2022-20701(CVSS 分数:9.0)和 CVE-2022-20703(CVSS 分数:9.3)没有什么不同,因为它们可以允许攻击者“执行任意代码提升权限、执行任意命令、绕过身份验证和授权保护,获取并运行未签名的软件,或导致拒绝服务,”CISA 补充说。


就其本身而言,思科之前承认它“知道概念验证漏洞利用代码可用于多个漏洞。” 攻击的其他性质或可能将其武器化的威胁行为者尚不清楚。


为了降低漏洞的重大风险并防止它们被用作潜在网络攻击的载体,美国的联邦机构被要求在 2022 年 3 月 17 日之前应用补丁。


本周早些时候,思科发布了针对影响 Expressway 系列和思科网真视频通信服务器 (VCS)的关键安全漏洞的补丁程序,该漏洞可能被恶意方利用以获得提升的权限并执行任意代码。

技术支持: 建站ABC | 管理登录