CISA提醒称 Windows 流服务漏洞已遭利用

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

上周四，CISA将位于微软流服务 (Streaming Service) 中的一个高危提权漏洞列入必修清单中。

该漏洞的编号是CVE-2024-29360（CVSS评分8.4），已在2023年6月在 Windows 10和11以及Windows Server 2016、2019和2022中修复，可导致攻击者获得易受攻击机器上的系统权限。

CISA在必修清单中提到，“微软流服务包含一个不受信任的指针解引用漏洞，可导致提权后果，从而导致本地攻击者获得系统权限。”CISA并未提供关于该漏洞的信息，并表示未有证据表明勒索软件团伙正在利用该漏洞。微软在2023年6月的安全通告中仍将其标记为“未被利用”。

针对 MSKSSRV.SYS 驱动（与微软内核流服务器相关联的一份系统文件）以利用该漏洞的 PoC 代码已出现约六个月的时间。尽管如此，直到现在才出现了该漏洞的利用报告。

如漏洞被列入CISA的必修清单 (KEV)，则美国联邦机构有三周的时间识别并修复环境中易受攻击的资产。因此这些机构应当在3月21日前将其修复。CISA 督促所有组织机构应用清单中提到的补丁，并提醒称这些漏洞具有重大风险。

微软的一名发言人表示，“我们在去年6月发布了CVE-2023-29360的修复方案。已经安装最新更新或者启用了自动更新的客户已获得保护。”

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

CISA：注意 Chrome 和 Excel 解析库中已遭利用的开源漏洞

CISA：FXC 路由器和 QNAP NVR 漏洞已遭在野利用

CISA 和NCSC 联合发布关于保护AI系统开发安全新指南

CISA必修清单新增三个漏洞

CISA 提醒注意已遭活跃利用的 Juniper 预认证 RCE 利用链

原文链接

https://www.securityweek.com/cisa-warns-of-windows-streaming-service-vulnerability-exploitation/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~