https://www.informationsecurity.com.tw/Seminar/2024_TCM/
https://www.informationsecurity.com.tw/Seminar/2024_TCM/

新聞

CISA 命令美國聯邦政府各單位立即修補最新 5 個漏洞,其中有一漏洞已遭用於勒贖攻擊

2023 / 04 / 12
編輯部
CISA 命令美國聯邦政府各單位立即修補最新 5 個漏洞,其中有一漏洞已遭用於勒贖攻擊
美國資安最高主管機關「網路安全暨基礎設施安全局」(Cybersecurity and Infrastructure Security Agency, CISA),日前在其發行的「已知遭駭漏洞」(Known Exploited Vulnerabilities, KEV)清單中新增五種已遭駭侵者用於攻擊的資安漏洞,並要求美國聯邦政府旗下各單位限期修復漏洞完成。

在這 5 個新加入 KEV 清單中的漏洞中,有一個危險程度評級為「嚴重」(Critical)等級的漏洞 CVE-2021-27877,據報已遭 ALPHV/BlackCat 勒贖團體用於發動駭侵攻擊。該漏洞存於 Veritas 資料安全防護軟體內,駭侵者可藉以漏洞提升執行權限,執行遠端遙控並執行任意程式碼。

另外兩個列入 KEV 的漏洞 CVE-2021-27876 與 CVE-2021-27878 都存於 Veritas Backup Exec 之中,也能讓駭侵者藉以存取系統上的任意檔案,並執行任意程式碼。

另有一個發生在 Samsung 裝置內建網路瀏覽器的 0-day 漏洞 CVE-2023-26083 亦列入 KEV 中。一個在 2022 年 12 月發現的商用間諜軟體,使用該漏洞來竊取受害用戶在裝置上的機敏資訊。

第 5 個列入 KEV 的漏洞為 CVE-2019-1388,發生於 Microsoft Windows Certificate Dialog,駭侵者可用以提升執行權限。

根據規定,美國聯邦政府旗下各單位,須在 2023 年 4 月 28 日前完成這批漏洞的修復作業。雖然 CISA 的命令只對美國聯邦政府所屬單位生效,但建議所有公私部門單位遵行辦理,以減少遭駭侵攻擊的風險。

建議各公私單位應立即依 CISA 指示檢查並修復所用軟硬體系統的資安漏洞,以降低遭駭侵者利用已知漏洞發動攻擊的風險。

本文轉載自TWCERT/CC。