漏洞資訊 Vulnerability Information

即刻修補漏洞 降低危害風險
漏洞資訊 Vulnerability Information

CISA 在漏洞清單中加入的 7 個大漏洞

2022-08-24

美國網路安全暨基礎設施安全局（Cybersecurity and Infrastructure Security Agency, CISA) 上週在受駭客使用的漏洞清單中又加入了7個漏洞。其中包含了Apple 於上週 8 月 18 日公佈的新已修補漏洞- CVE-2022-32893 和 CVE-2022-32894 弱點、Microsoft 於今年二月與五月完成修補的CVE-2022-21971與CVE-2022-26923 弱點、 SAP 和 Google Chrome的新漏洞。

一、Apple Safari 漏洞- CVE-2022-32893 和 CVE-2022-32894 ( 2022-08-18 已修補)

Apple 公司在8/18發佈了兩個針對iPhone、iPad和 Mac 設備的弱點更新，並承認本次修補的弱點有被惡意人士利用的可能性。然而，Apple 公司針對此次更新修補的弱點詳細內容與弱點發現者，並沒有透過太多。

目前由 Apple 公司在 8/18 所公佈的修補資訊中，可以了解到：此次修改的弱點內容編號為CVE-2022-32893 和 CVE-2022-32894 ，主要被發現在Apple內建的瀏覽器- Safari中。惡意人士可以透過此漏洞滲透到瀏覽器引擎- WebKit中。一旦此惡意攻擊者取得了WebKit最初的foothold，便可以取得控制作業系統 (OS) 以執行系統程式碼的權限；並且透過呈現可疑的網頁內容進一步的滲透並接管受害設備活動中。

 

二、Microsoft (2022-2 和 2022-5 已修補)Microsoft 在今年二月針對遠端代碼執行漏洞 (remote code execution vulnerability) 編號 CVE-2022-21971 完成修補，但截至目前並沒有公佈此弱點被發現的詳細過程。此外，在今年五月，Microsoft 也針對 Active Directory Domain 權限升級漏 (Active Directory Domain Services privilege elevation vulnerability) 編號 CVE-2022-26923 弱點完成修補。

 

三、Google Chrome- CVE-2022-2856 (2022-08-17 已修補)

Google 在上週二 (2022-08-17) 發佈了針對 CVE-2022-2856 弱點修補的 Chrome 104.0.5112.101 版本更新。對此更新，Google 表示目前，在今年發現的漏洞皆已修補完成，請用戶記得定時並表示會待多數用戶完成版本更新後會再更新更多有關於 CVE-2022-2856 的弱點資訊。

CVE-2022-2856 是由 Google 威脅分析小組 (Google Treat Analysis Group, TAG) 內部人員所發現的弱點。此弱點屬於遠端代碼執行漏洞 (remote code execution vulnerability)，源於 Chrome 對於 Intents 的輸入缺乏謹慎的驗證流程，使惡意入侵者可以在未經授權的情況中，透過Google Chrome 遠端執行惡意程式，並取得到於伺服器的控制。

 

四、SAP- CVE-2022-22536 (2022-2 已修補)

CVE-2022-22536 是一個弱點等級為關鍵的極重要弱點，已經在今年二月，由 Onapsis 完成弱點的修補。惡意攻擊者可能透過此漏洞，在未經身份驗證的情況中，竊取企業內部資料，並透過 HTTP 協定進行資料傳送。因此，此弱點可能企業面臨財務詐騙 (financial fraud risks)、關鍵商業活動受到干擾 (disruptions of mission-critical business processes)、被惡意勒索 (ransomware attack) 等商業危害。

 

五、Palo Alto Networks- CVE-2017-15944 (2017年已完成修補)

CVE-2017-15944 是一個在2017年已經完成修補的弱點。此弱點曾經影響的範圍為由Palo Alto Networks 公司發行的防火牆產品以及PAN-OS 系統。安全研究團隊發現在此弱點與其他弱點中，惡意攻擊者可以透過遠端對 Palo Alto Networks 公司發行的防火牆進行最高權限的活動。

 

參考資料

  1. Apple Warns of Critical Security Risk in Safari For iPhones, iPads and Macs, infosecurity (19 Aug 2022): https://www.infosecurity-magazine.com/news/apple-warns-of-critical-security/

  2. Apple Releases Security Updates for Multiple Products, CISA (18 Aug 2022):  https://www.cisa.gov/uscert/ncas/current-activity/2022/08/18/apple-releases-security-updates-multiple-products

  3. Google fixes fifth Chrome zero-day bug exploited this year, BleepingComputer (17 Aug 2022): https://www.bleepingcomputer.com/news/security/google-fixes-fifth-chrome-zero-day-bug-exploited-this-year/

  4. CVE-2022-2856: Google Chrome Code Execution Vulnerability, Sangfor (19 Aug 2022): https://www.sangfor.com/farsight-labs-threat-intelligence/cybersecurity/cve-2022-2856-google-chrome-code-execution-vulnerability

  5. CISA warns admins to patch maximum severity SAP vulnerability, BleepingComputer (9 Feb 2022): https://www.bleepingcomputer.com/news/security/cisa-warns-admins-to-patch-maximum-severity-sap-vulnerability/

  6. SAP Vulnerability Exploited in Attacks After Details Disclosed at Hacker Conferences, securityweek (19 Aug 2022): https://www.securityweek.com/sap-vulnerability-exploited-attacks-after-details-disclosed-hacker-conferences

  7. Certifried: Active Directory Domain Privilege Escalation (CVE-2022–26923), IFCR Medium (11 May 2022): https://research.ifcr.dk/certifried-active-directory-domain-privilege-escalation-cve-2022-26923-9e098fe298f4

  8. Fortinet VPN Client Exposes VPN Creds, Palo Alto Firewalls Allow Remote Attacks, infosecurity (14 Dec 2022): https://www.bleepingcomputer.com/news/security/fortinet-vpn-client-exposes-vpn-creds-palo-alto-firewalls-allow-remote-attacks/

  9. https://www.bleepingcomputer.com/news/security/cisa-adds-7-vulnerabilities-to-list-of-bugs-exploited-by-hackers/

TOP