美国网络安全和基础设施安全局(CISA)在其积极漏洞利用的安全问题列表中新添加了7个漏洞，其中包括来自Microsoft、Linux和Jenkins的漏洞。所谓的已知被利用漏洞列表是在网络攻击中被积极利用并需要由联邦民事执行局(FCEB)机构修补的漏洞列表。

“具有约束力的操作指令(BOD) 22-01：为了降低已知被利用漏洞的重大风险，建立了已知被利用漏洞目录，将其作为对联邦企业具有重大风险的已知cve的动态列表”，CISA对此解释说。

BOD 22-01要求FCEB机构在截止日期前修复已识别的漏洞，以保护FCEB网络免受活动威胁。目录中列出的漏洞可能会发生威胁参与者执行各种攻击，包括窃取凭据、访问网络、远程执行命令、下载和执行恶意软件，或从设备窃取信息。加上这七个漏洞，该目录现在包含 654 个漏洞，包括联邦机构必须应用相关补丁和安全更新的日期。

下面列出了本周添加的七个新漏洞，CISA 要求在 2022年5月16日之前对所有这些漏洞进行修补。

这些漏洞如何用于攻击？

虽然知道这些漏洞会有帮助，但了解它们是如何被积极地用于攻击会更有帮助。

编号为CVE-2022-29464的WSO2漏洞于2022年4月18日被披露，几天后，一个漏洞利用程序被公开。Rapid7研究人员很快就看到了在攻击中使用公共PoC来部署网络外壳和硬币矿工。

编号为CVE-2022-21919和CVE-2022-26904的 Windows“用户配置文件服务特权升级”漏洞均由Abdelhamid Naceri发现，并且是对2021年8月修复的原始CVE-2021-34484漏洞的后续绕过。所有这些漏洞都公开了被利用的PoC，并且BleepingComputer被告知勒索软件团伙使用它们在Windows域中横向传播。

被称为“DirtyPipe”的Linux权限提升漏洞编号为CVE-2022-0847，于2022年3月被披露。披露后不久，许多概念验证漏洞被发布，它允许用户快速获得root权限。

CVE-2021-40450和CVE-2021-41357“微软 Win32k特权升级”漏洞已于2021年10月被修补，有趣的是，目前并没有公开提及这些在野漏洞被利用的新闻。

最古老的漏洞是编号为CVE-2019-1003029 的“Jenkins脚本安全插件沙箱绕过”漏洞，Capoae恶意软件过去曾使用该漏洞部署XMRig加密矿工。

最后，CISA强烈建议所有安全专业人员和管理员查看已知被利用漏洞目录，并在其环境中修补任何漏洞。

参考来源：https://www.bleepingcomputer.com/news/security/cisa-adds-7-vulnerabilities-to-list-of-bugs-exploited-in-attacks/