美國資安最高主管機關「網路安全暨基礎設施安全局」（Cybersecurity and Infrastructure Security Agency, CISA），日前在其發行的「已知遭駭漏洞」（Known Exploited Vulnerabilities, KEV）清單中新增五種已遭駭侵者用於攻擊的資安漏洞，並要求美國聯邦政府旗下各單位限期修復漏洞完成。
在這 5 個新加入 KEV 清單中的漏洞中，有一個危險程度評級為「嚴重」（Critical）等級的漏洞 CVE-2021-27877，據報已遭 ALPHV/BlackCat 勒贖團體用於發動駭侵攻擊。該漏洞存於 Veritas 資料安全防護軟體內，駭侵者可藉以漏洞提升執行權限，執行遠端遙控並執行任意程式碼。
另外兩個列入 KEV 的漏洞 CVE-2021-27876 與 CVE-2021-27878 都存於 Veritas Backup Exec 之中，也能讓駭侵者藉以存取系統上的任意檔案，並執行任意程式碼。
另有一個發生在 Samsung 裝置內建網路瀏覽器的 0-day 漏洞 CVE-2023-26083 亦列入 KEV 中。一個在 2022 年 12 月發現的商用間諜軟體，使用該漏洞來竊取受害用戶在裝置上的機敏資訊。
第 5 個列入 KEV 的漏洞為 CVE-2019-1388，發生於 Microsoft Windows Certificate Dialog，駭侵者可用以提升執行權限。
根據規定，美國聯邦政府旗下各單位，須在 2023 年 4 月 28 日前完成這批漏洞的修復作業。雖然 CISA 的命令只對美國聯邦政府所屬單位生效，但建議所有公私部門單位遵行辦理，以減少遭駭侵攻擊的風險。
議各公私單位應立即依 CISA 指示檢查並修復所用軟硬體系統的資安漏洞，以降低遭駭侵者利用已知漏洞發動攻擊的風險。
- 參考連結
CISA Adds Five Known Exploited Vulnerabilities to Catalog
CISA orders agencies to patch Backup Exec bugs used by ransomware gang
留言列表
資安宣導 (2)
