上周五，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)在其漏洞(KEV)目錄中新增三個(gè)安全漏洞，具體如下：

• CVE-2023-28432 (CVSS評(píng)分- 7.5)- MinIO信息泄露漏洞
• CVE-2023-27350 (CVSS評(píng)分- 9.8)-剪紙MF/NG不當(dāng)訪問控制漏洞
• CVE-2023-2136 (CVSS評(píng)分-待定)-谷歌Chrome Skia整數(shù)溢出漏洞

MinIO的維護(hù)人員在2023年3月21日發(fā)布的一份資訊報(bào)告中表示，在集群部署中，MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD會(huì)還原所有環(huán)境變量，導(dǎo)致信息泄露。

據(jù)GreyNoise收集的數(shù)據(jù)顯示，在過去的30天里，來自美國、荷蘭、法國、日本和芬蘭等多達(dá)18個(gè)惡意IP地址試圖利用該漏洞。值得注意的是，這家威脅情報(bào)公司在上月底發(fā)布的警報(bào)文件中指出，OpenAI為開發(fā)者提供了一個(gè)參考方法，闡述了如何將他們的插件集成到ChatGPT上，主要是依賴于一個(gè)舊版本的MinIO，而該版本存在CVE-2023-28432的漏洞。

GreyNoise表示，OpenAI開發(fā)的新功能對(duì)于那些想在ChatGPT集成中訪問不同提供商實(shí)時(shí)數(shù)據(jù)的開發(fā)人員來說，的確是一個(gè)非常有價(jià)值的工具，但安全性始終應(yīng)該是擺在首位的核心設(shè)計(jì)原則。

此外，KEV目錄中還添加了一個(gè)會(huì)致使PaperCut軟件遠(yuǎn)程代碼執(zhí)行錯(cuò)誤的漏洞。攻擊者可以通過該漏洞實(shí)現(xiàn)免身份驗(yàn)證，并直接遠(yuǎn)程運(yùn)行任意代碼。

不過截至2023年3月8日，供應(yīng)商已經(jīng)修復(fù)了該漏洞，并發(fā)布了PaperCut MF和PaperCut NG20.1.7,21.2.11和22.0.9版本。Zero Day Initiative已于2023年1月10日正式報(bào)告了該問題，并預(yù)計(jì)將于2023年5月10日發(fā)布更多技術(shù)細(xì)節(jié)。

本周早些時(shí)候，有一家總部位于墨爾本的公司分享了一則最新消息稱：有證據(jù)表明，在2023年4月18日左右，有攻擊者通過漏洞攻擊了未打補(bǔ)丁服務(wù)器。網(wǎng)絡(luò)安全公司北極狼(Arctic Wolf)表示，此前也發(fā)現(xiàn)了一些PaperCut服務(wù)器被入侵的情況。一經(jīng)入侵，RMM的工具Synchro MSP會(huì)直接在被損害系統(tǒng)上自動(dòng)加載。

最后一個(gè)被添加至目錄的是谷歌Chrome漏洞，該漏洞會(huì)直接影響到Skia 2D圖形庫，并可以讓威脅者通過精心制作的HTML頁面執(zhí)行沙盒逃逸。

CISA建議美國聯(lián)邦民事行政部門(FCEB)機(jī)構(gòu)在2023年5月12日之前盡快修復(fù)這幾個(gè)漏洞，以確保其網(wǎng)絡(luò)安全。

參考鏈接：https://thehackernews.com/2023/04/cisa-adds-3-actively-exploited-flaws-to.html