美国将17个已被利用的漏洞添加到必须修补列表中
最新回答
蘇瑾熙
2024-04-25 19:31:23
美国一家政府安全机构将17个正在被广泛利用的漏洞添加到漏洞数据库中，并要求美国联邦机构必须修复这些漏洞，以下是详细介绍：
漏洞添加背景与目的
- 作为约束性操作指令(BOD) 22 - 01的一部分，已知被利用漏洞目录于去年11月推出，旨在提高民用联邦政府机构的网络弹性。从推出后，一份初始列表（刚刚超过300个CVE，其中一些可追溯到2010年）在稳步添加漏洞，此次新增17个漏洞。
漏洞的用途与危害
- 最新更新的漏洞可用于各种目的，包括拒绝服务、权限提升、身份验证绕过和信息泄露。攻击者利用这些漏洞窃取信息和凭据、执行恶意软件、访问网络等。
部分重点漏洞介绍
- CVE - 2021 - 32648：上周曝光的10月CMS中的一个不正确的身份验证漏洞，被广泛用于劫持和破坏乌克兰政府网站。
- CVE - 2021 - 35247：被列为SolarWinds Serv - U文件服务器中的不正确输入验证漏洞。微软研究人员发现它在Log4j攻击中被利用，试图破坏Windows域控制器，不过此类攻击失败是因为Windows域控制器不易受到Log4Shell的攻击。
漏洞修复时间要求
- 根据网络安全和基础设施安全局(CISA)的命令，所有漏洞必须在2月4日之前进行修补。其中CVE - 2021 - 32648和列出的其他八个CVE时间框架更加紧迫，必须在2月1日之前修复，其余七个错误必须在7月之前修复。
指令的适用范围与建议
- 虽然BOD修补添加到数据库中的任何漏洞仅对美国民用联邦机构是强制性的，但美国政府希望其他组织遵循相同规则。该指令在去年11月表示：“虽然该指令适用于联邦民事机构，但我们知道全国各地的组织，包括关键基础设施实体，都是使用这些相同漏洞的目标。”因此，每个组织都必须采用该指令并优先缓解CISA公共目录中列出的漏洞。
热门标签
