• 發布單位:TWCERT/CC
• 更新日期:2023-04-17
• 點閱次數:200

美國資安最高主管機關「網路安全暨基礎設施安全局」（Cybersecurity and Infrastructure Security Agency, CISA），日前在其發行的「已知遭駭漏洞」（Known Exploited Vulnerabilities, KEV）清單中新增五種已遭駭侵者用於攻擊的資安漏洞，並要求美國聯邦政府旗下各單位限期修復漏洞完成。

在這 5 個新加入 KEV 清單中的漏洞中，有一個危險程度評級為「嚴重」（Critical）等級的漏洞 CVE-2021-27877，據報已遭 ALPHV/BlackCat 勒贖團體用於發動駭侵攻擊。該漏洞存於 Veritas 資料安全防護軟體內，駭侵者可藉以漏洞提升執行權限，執行遠端遙控並執行任意程式碼。

另外兩個列入 KEV 的漏洞 CVE-2021-27876 與 CVE-2021-27878 都存於 Veritas Backup Exec 之中，也能讓駭侵者藉以存取系統上的任意檔案，並執行任意程式碼。

另有一個發生在 Samsung 裝置內建網路瀏覽器的 0-day 漏洞 CVE-2023-26083 亦列入 KEV 中。一個在 2022 年 12 月發現的商用間諜軟體，使用該漏洞來竊取受害用戶在裝置上的機敏資訊。

第 5 個列入 KEV 的漏洞為 CVE-2019-1388，發生於 Microsoft Windows Certificate Dialog，駭侵者可用以提升執行權限。

根據規定，美國聯邦政府旗下各單位，須在 2023 年 4 月 28 日前完成這批漏洞的修復作業。雖然 CISA 的命令只對美國聯邦政府所屬單位生效，但建議所有公私部門單位遵行辦理，以減少遭駭侵攻擊的風險。

建議各公私單位應立即依 CISA 指示檢查並修復所用軟硬體系統的資安漏洞，以降低遭駭侵者利用已知漏洞發動攻擊的風險。