5月30日美國網路安全暨基礎設施安全局(CISA)發布資安公告,他們在已遭利用的漏洞目錄(KEV)當中新增兩個漏洞,分別是Check Point近期修補的安全閘道設備資訊洩露漏洞CVE-2024-24919,以及Linux核心元件記憶體釋放後再重新利用(Use After Free)的漏洞CVE-2024-1086,CVSS風險評分為8.6、7.8。CISA要求所有的聯邦機構,必須在6月20前完成修補。
其中,較為引起關注的漏洞,是今年1月Linux基金會修補的CVE-2024-1086,這項漏洞存在於Linux核心5.14至6.6.14版,攻擊者假如能夠趁機取得一般使用者權限,再觸發漏洞,就有機會取得root權限。
而這項漏洞發生的原因,在於Linux核心的netfilter元件裡,處理網路封包、資料封包的nftables出現記憶體雙重釋放(double-free)的弱點,有可能導致當機,或是讓攻擊者執行任意程式碼,研究人員Notselwyn在4月初公布細節及概念性驗證程式碼(PoC),並將其命名為「Flipping Pages」,當時,尚未發現這項漏洞遭到利用的跡象。
雖然CISA並未公布這項漏洞遭到利用的情形,也沒有透露攻擊者如何進行漏洞利用,但有鑑於Debian、Ubuntu、Red Hat、Fedora等版本的Linux作業系統都會受到影響,用戶後應儘速套用Linux供應商提供的新版軟體因應。
熱門新聞
2024-12-03
2024-11-20
2024-11-15
2024-11-15