CISA 必修清单新增6个已遭利用的0day

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

美国网络安全基础设施安全局 (CISA) 在“已知已遭利用漏洞”分类表中新增了6个漏洞。

这6个漏洞分别是苹果公司在本周修复的3个漏洞（CVE-2023-32434、CVE-2023-32435和CVE-2023-32439）、位于 VMware 中的两个漏洞（CVE-2023-20867和CVE-2023-20887）以及位于 Zyxel 中的一个漏洞（CVE-2023-27992）。

CVE-2023-32434和CVE-2023-32435均可导致代码执行后果，据报道已被用于始于2019年的网络监控活动中。这起攻击活动被称为“三角定位行动 (Operation Triangulation)”，旨在部署可从受陷设备中提取大量信息的 TriangleDB，如创建、修改、删除和盗取文件，列出并终止进程，从 iCloud Keychain 中收集凭据以及追踪用户位置等。

该攻击链始于目标受害者接收到带有附件的 iMessage，在无需任何交互的情况下自动触发 payload 执行，使其成为零点击利用。卡巴斯基在最初的报告中提到，“恶意信息是畸形的，不会为用户触发任何报警或通知。”

CVE-2023-32434和CVE-2023-32435是被滥用于监控攻击中很多 iOS 漏洞中的两个。其中一个是CVE-2022-46690，它是位于 IOMobileFrameBuffer 中的一个高危界外读漏洞，可被恶意 app 武器化，利用内核权限执行任意代码。该漏洞已由苹果公司在2022年12月通过改进输入验证而修复。

卡巴斯基将 TriangleDB 标记为包含无用特性，引用 macOS 以及各种权限，访问设备的麦克风、摄像头和地址簿，可供后续使用。调查始于今年年初，当时卡巴斯基检测到自家企业网络中的攻陷情况。

鉴于漏洞已遭活跃利用的情况，联邦民用行政部门 (FCEB) 被建议应用厂商提供的补丁，保护网络免受潜在威胁。

前不久，CISA 发布警报，提醒 BIND 9 DNS 软件套件中存在3个漏洞，可触发拒绝服务条件。这3个漏洞是CVE-2023-2828、CVE-2023-2929和CVE-2023-2911，它们可遭远程利用，导致named BIND9 服务异常终止或运行named 的主机可用内存耗尽，从而导致 DoS。这是不到6个月内，ISC 第二次发布补丁修复 BIND9 中可引发 DoS 和系统失败等类似问题。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

奇安信入选全球《静态应用安全测试全景图》代表厂商

奇安信入选全球《软件成分分析全景图》代表厂商

CISA提醒：严重的 Ruckus 漏洞被用于感染 WiFi 接入点

1500万公开服务易受 CISA 已知已遭利用漏洞攻击

CISA紧急提醒：Adobe ColdFusion漏洞已遭在野利用

CISA提醒注意与LastPass泄露事件有关的Plex漏洞

原文链接

https://thehackernews.com/2023/06/us-cybersecurity-agency-adds-6-flaws-to.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~