美國網絡安全和基礎設施安全局(CISA)在其積極漏洞利用的安全問題列表中新添加了7個漏洞，其中包括來自Microsoft、Linux和Jenkins的漏洞。所謂的已知被利用漏洞列表是在網絡攻擊中被積極利用并需要由聯邦民事執行局(FCEB)機構修補的漏洞列表。

“具有約束力的操作指令(BOD) 22-01：為了降低已知被利用漏洞的重大風險，建立了已知被利用漏洞目錄，將其作為對聯邦企業具有重大風險的已知cve的動態列表”，CISA對此解釋說。

BOD 22-01要求FCEB機構在截止日期前修復已識別的漏洞，以保護FCEB網絡免受活動威脅。目錄中列出的漏洞可能會發生威脅參與者執行各種攻擊，包括竊取憑據、訪問網絡、遠程執行命令、下載和執行惡意軟件，或從設備竊取信息。加上這七個漏洞，該目錄現在包含 654 個漏洞，包括聯邦機構必須應用相關補丁和安全更新的日期。

下面列出了本周添加的七個新漏洞，CISA 要求在 2022年5月16日之前對所有這些漏洞進行修補。

這些漏洞如何用于攻擊?

雖然知道這些漏洞會有幫助，但了解它們是如何被積極地用于攻擊會更有幫助。

編號為CVE-2022-29464的WSO2漏洞于2022年4月18日被披露，幾天后，一個漏洞利用程序被公開。Rapid7研究人員很快就看到了在攻擊中使用公共PoC來部署網絡外殼和硬幣礦工。

編號為CVE-2022-21919和CVE-2022-26904的 Windows“用戶配置文件服務特權升級”漏洞均由Abdelhamid Naceri發現，并且是對2021年8月修復的原始CVE-2021-34484漏洞的后續繞過。所有這些漏洞都公開了被利用的PoC，并且BleepingComputer被告知勒索軟件團伙使用它們在Windows域中橫向傳播。

被稱為“DirtyPipe”的Linux權限提升漏洞編號為CVE-2022-0847，于2022年3月被披露。披露后不久，許多概念驗證漏洞被發布，它允許用戶快速獲得root權限。

CVE-2021-40450和CVE-2021-41357“微軟 Win32k特權升級”漏洞已于2021年10月被修補，有趣的是，目前并沒有公開提及這些在野漏洞被利用的新聞。

最古老的漏洞是編號為CVE-2019-1003029 的“Jenkins腳本安全插件沙箱繞過”漏洞，Capoae惡意軟件過去曾使用該漏洞部署XMRig加密礦工。

最后，CISA強烈建議所有安全專業人員和管理員查看已知被利用漏洞目錄，并在其環境中修補任何漏洞。