IT之家 12 月 17 日消息，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）警告聯(lián)邦機(jī)構(gòu)，需盡快修復(fù) Windows 和 Adobe ColdFusion 漏洞，以防范潛在的網(wǎng)絡(luò)攻擊。
CISA 已將這兩個(gè)漏洞添加到其“已知被利用漏洞目錄”（KEV），敦促聯(lián)邦機(jī)構(gòu)在三周內(nèi)完成修復(fù)。
Windows 內(nèi)核漏洞 (CVE-2024-35250)
IT之家注：該漏洞追蹤編號(hào)為 CVE-2024-35250，源于不受信任的指針取消引用漏洞，整個(gè)過程不需要用戶交互，本地攻擊者可以獲取系統(tǒng)權(quán)限。
受影響組件為 Microsoft 內(nèi)核流服務(wù) (MSKSSRV.SYS)，DEVCORE 研究團(tuán)隊(duì)在 Pwn2Own 2024 黑客大賽上利用該漏洞，成功攻破了安裝最新更新的 Windows 11 系統(tǒng)。
微軟已在 2024 年 6 月的補(bǔ)丁星期二發(fā)布了修復(fù)補(bǔ)丁，漏洞利用的概念驗(yàn)證代碼于今年 10 月在 GitHub 上公開。
Adobe ColdFusion 漏洞 (CVE-2024-20767)
該漏洞追蹤編號(hào)為 CVE-2024-20767，源于訪問控制不當(dāng)，讓未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者讀取系統(tǒng)及其他敏感文件。
攻擊者可利用暴露在互聯(lián)網(wǎng)上的 ColdFusion 服務(wù)器管理面板繞過安全措施，執(zhí)行任意文件系統(tǒng)寫入操作。
Fofa 搜索引擎已追蹤到超過 145,000 個(gè)暴露在互聯(lián)網(wǎng)上的 ColdFusion 服務(wù)器，但難以確定哪些服務(wù)器的管理面板可被遠(yuǎn)程訪問。
Adobe 已于 2024 年 3 月發(fā)布了修復(fù)補(bǔ)丁，但此后多個(gè)概念驗(yàn)證漏洞利用代碼已在網(wǎng)上公開。
廣告聲明：文內(nèi)含有的對(duì)外跳轉(zhuǎn)鏈接（包括不限于超鏈接、二維碼、口令等形式），用于傳遞更多信息，節(jié)省甄選時(shí)間，結(jié)果僅供參考，IT之家所有文章均包含本聲明。