CISA 在其目录中添加了 10 个新的已知被积极利用的漏洞

美国网络安全和基础设施安全局 (CISA) 周五在其已知利用漏洞 (KEV) 目录中增加了 10 个新的被积极利用的漏洞，其中包括影响 Delta Electronics 工业自动化软件的高严重性安全漏洞。



该问题被跟踪为CVE-2021-38406（CVSS 分数：7.8），影响 DOPSoft 2 版本 2.00.07 及之前的版本。成功利用该漏洞可能会导致任意代码执行。

“Delta Electronics DOPSoft 2 在解析特定项目文件（不正确的输入验证）时缺乏对用户提供的数据的正确验证，导致允许代码执行的越界写入，”CISA 在警报中说。

值得注意的是，CVE-2021-38406 最初是作为2021 年 9 月发布的工业控制系统 (ICS) 公告的一部分而披露的。

网络安全
但是，没有解决该漏洞的补丁程序，CISA 指出“受影响的产品已报废，如果仍在使用，应断开连接。” 联邦文职行政部门 (FCEB) 机构必须在 2022 年 9 月 15 日之前遵循该指南。

关于利用该安全漏洞的攻击性质的信息不多，但 Palo Alto Networks Unit 42 最近的一份报告指出，在 2022 年 2 月至 2022 年 4 月期间利用该漏洞进行的野外攻击实例。

这一发展增加了这样一种观念，即当新发布的漏洞首次披露时，攻击者利用它们的速度越来越快，从而导致旨在利用延迟修补的不分青红皂白和机会主义的扫描尝试。

这些攻击通常遵循特定的利用顺序，包括 Web Shell、加密矿工、僵尸网络和远程访问木马 (RAT)，然后是初始访问代理 (IAB)，然后为勒索软件铺平道路。

添加到列表中的其他积极利用的缺陷如下 -

CVE-2022-26352 - dotCMS 无限制上传文件漏洞
CVE-2022-24706 - Apache CouchDB 不安全的资源默认初始化漏洞
CVE-2022-24112 - Apache APISIX 身份验证绕过漏洞
CVE-2022-22963 - VMware Tanzu Spring Cloud Function 远程代码执行漏洞
CVE-2022-2294 - WebRTC 堆缓冲区溢出漏洞
CVE-2021-39226 - Grafana 身份验证绕过漏洞
CVE-2020-36193 - PEAR Archive_Tar 不正确的链接解析漏洞
CVE-2020-28949 - PEAR Archive_Tar 反序列化不受信任的数据漏洞
iOS 和 macOS 漏洞添加到列表中
添加到 KEV 目录中的另一个高严重性缺陷是CVE-2021-31010（CVSS 分数：7.5），这是 Apple 核心电话组件中的一个反序列化问题，可以用来规避沙盒限制。

网络安全
这家科技巨头解决了 2021 年 9 月发布的 iOS 12.5.5、iOS 14.8、iPadOS 14.8、macOS Big Sur 11.6（和安全更新 2021-005 Catalina）和 watchOS 7.6.2 中的缺陷。

虽然当时没有迹象表明该漏洞正在被利用，但这家科技巨头似乎已在 2022 年 5 月 25 日默默地修改了其公告，以添加该漏洞并确认它确实在攻击中被滥用。

iPhone 制造商指出：“Apple 知道有报告称该问题在发布时可能已被积极利用，”并将这一发现归功于 Citizen Lab 和 Google Project Zero。

9 月的更新还值得注意的是修复了CVE-2021-30858 和 CVE-2021-30860，这两者都被Pegasus 间谍软件的制造商NSO Group用来绕过操作系统的安全功能。

这增加了 CVE-2021-31010 可能与上述两个攻击链中的漏洞串在一起以逃避沙箱并实现任意代码执行的可能性。