近些年，漏洞數(shù)量不斷增加，各行業(yè)面臨的安全挑戰(zhàn)日益嚴(yán)峻，特別是在工業(yè)、新能源、金融、交通、國防、醫(yī)療等關(guān)鍵領(lǐng)域，眾多數(shù)據(jù)泄露和勒索軟件攻擊事件明確顯示出，利用安全漏洞已成為攻擊者最頻繁采用的手段之一。

本文將對 2024 年迄今為止那些危害性高、影響廣泛且利用途徑多樣的安全漏洞進(jìn)行詳細(xì)梳理，旨在為網(wǎng)絡(luò)安全從業(yè)者提供一個全面的安全漏洞信息匯編，以便能夠更好地了解這些漏洞，并據(jù)此制定相應(yīng)的安全防御策略。

2022 年和2023 年的重點(diǎn)漏洞信息正在整理中，將陸續(xù)發(fā)布。

2024 年，重點(diǎn)安全漏洞盤點(diǎn)

1、CVE-2024-4040（CrushFTP 服務(wù)器端模板注入漏洞）

漏洞描述：CrushFTP 10.7.1 和 11.1.0 之前版本存在安全漏洞，該漏洞源于允許低權(quán)限的遠(yuǎn)程攻擊者從 VFS 沙箱之外的文件系統(tǒng)讀取文件。

緩解措施:可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-4040

2、CVE-2024-3400（Palo Alto Networks PAN-OS命令注入漏洞）

漏洞描述：Palo Alto Networks PAN-OS軟件的 GlobalProtect功能中存在命令注入漏洞，該漏洞影響啟用了 GlobalProtect 網(wǎng)關(guān)和設(shè)備遙測配置的 PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1 防火墻，未經(jīng)身份驗(yàn)證的威脅者可利用該漏洞在防火墻上以root權(quán)限執(zhí)行任意代碼。

緩解措施：目前Palo Alto Networks正在開發(fā)PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1 的修復(fù)程序（預(yù)計將于2024年4月14日發(fā)布），受影響用戶可在修復(fù)程序可用時更新到以下版本：

• PAN-OS 11.1 >= 11.1.2-h3 (ETA: By 4/14)
• PAN-OS 11.0 >= 11.0.4-h1 (ETA: By 4/14)
• PAN-OS 10.2 >= 10.2.9-h1 (ETA: By 4/14)

資料來源：http://www.dfxy.net/xxzx/2024/0415/c1137a24983/page.html

3、CVE-2024-3273（D-Link DNS-320 命令注入漏洞 ）

漏洞描述：D-Link DNS-320L、DNS-325、DNS-327L、DNS-340L等多個產(chǎn)品的/cgi-bin/nas_sharing.cgi腳本中存在硬編碼后門漏洞，以及可通過system參數(shù)導(dǎo)致命令注入漏洞，威脅者可組合利用這兩個漏洞通過HTTP GET請求將Base64編碼的命令添加到system參數(shù)從而在系統(tǒng)上執(zhí)行任意命令，成功利用可能導(dǎo)致未授權(quán)訪問敏感信息、修改系統(tǒng)配置或拒絕服務(wù)等。

緩解措施：目前官方已不再對這些D-Link NAS設(shè)備提供支持和維護(hù)。鑒于該漏洞的利用代碼已公開，并且已發(fā)現(xiàn)被利用來部署惡意軟件以進(jìn)行僵尸網(wǎng)絡(luò)攻擊，且互聯(lián)網(wǎng)上仍有大量在線暴露且未修復(fù)的D-Link NAS設(shè)備，受影響用戶應(yīng)及時停用或更換受影響產(chǎn)品。

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-3273

4、CVE-2024-3272 （D-Link DNS-320 信任管理問題漏洞）

漏洞描述：該漏洞問題影響了組件HTTP GET請求處理程序的文件/cgi-bin/nas_sharing.cgi的某些未知處理，對參數(shù)user的操縱與輸入messagebus導(dǎo)致硬編碼憑據(jù)，漏洞已被公開披露并可能被利用，允許攻擊者執(zhí)行經(jīng)過身份驗(yàn)證的命令注入，從而導(dǎo)致遠(yuǎn)程、未經(jīng)授權(quán)的代碼執(zhí)行。

緩解措施：目前官方已不再對這些D-Link NAS設(shè)備提供支持和維護(hù)。受影響用戶可應(yīng)用官方提供的安全建議，及時停用或更換受影響產(chǎn)品。

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-3272

5、CVE-2024-29748（Android Pixel 權(quán)限升級漏洞 ）

漏洞描述：Android Pixel 中包含的一個權(quán)限提升漏洞，該漏洞允許攻擊者中斷設(shè)備管理員應(yīng)用觸發(fā)的恢復(fù)出廠設(shè)置。

緩解措施：用戶可以在設(shè)置 > 系統(tǒng) > 軟件更新，查看 Pixel 手機(jī)是否獲得 2024 年 4 月更新。

資料來源：https://avd.aliyun.com/detail?id=AVD-2024-29748

6、CVE-2024-29745（Android Pixel 信息泄露漏洞 ）

漏洞描述：Android Pixel 在用于支持解鎖、刷新和鎖定受影響設(shè)備的快速啟動固件中包含一個信息泄露漏洞。用戶無需交互、無需額外的執(zhí)行權(quán)限即可利用該漏洞，未初始化數(shù)據(jù)訪問可能導(dǎo)致信息泄露。

緩解措施：用戶可以在設(shè)置 > 系統(tǒng) > 軟件更新，查看 Pixel 手機(jī)是否獲得 2024 年 4 月更新。

資料來源：https://avd.aliyun.com/detail?id=AVD-2024-29745

7、CVE-2024-27198（JetBrains TeamCity 身份驗(yàn)證繞過漏洞）

漏洞描述：JetBrains TeamCity 在2023.11.4版本之前存在身份認(rèn)證繞過漏洞，攻擊者可以利用該漏洞繞過認(rèn)證機(jī)制，直接執(zhí)行管理員操作，并結(jié)合后臺功能，造成遠(yuǎn)程代碼執(zhí)行漏洞。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://www.jetbrains.com/help/teamcity/previous-releases-downloads.html#Current+version%3A+TeamCity+2023.11.4

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-27198

8、CVE-2024-21893（Ivanti Connect Secure 代碼問題漏洞）

漏洞描述：Ivanti Connect Secure 、Ivanti Policy Secure9.x、22.x系列版本和Ivanti Neurons for ZTA存在代碼問題漏洞，該漏洞源于SAML 組件中的存在服務(wù)器端請求偽造漏洞，允許攻擊者無需身份驗(yàn)證訪問某些受限資源。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure?language=en_US

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21893

9、CVE-2024-21887（Ivanti Connect Secure 命令注入漏洞）

漏洞描述：Ivanti Connect Secure 9.x、22.x系列版本、 Ivanti Policy Secure 9.x、22.x系列版本存在命令注入漏洞，該漏洞源于Web 組件中存在命令注入，允許經(jīng)過身份驗(yàn)證的管理員發(fā)送特制請求并在設(shè)備上執(zhí)行任意命令。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21887

10、CVE-2024-21762（Fortinet FortiOS 緩沖區(qū)錯誤漏洞 ）

漏洞描述：Fortinet FortiOS存在緩沖區(qū)錯誤漏洞，該漏洞源于存在越界寫入，允許攻擊者通過特制請求執(zhí)行未經(jīng)授權(quán)的代碼或命令。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://fortiguard.com/psirt/FG-IR-24-015

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21762

11、CVE-2024-21412（Microsoft Windows 安全漏洞）

漏洞描述：漏洞影響網(wǎng)際網(wǎng)絡(luò)捷徑文件的安全功能，攻擊者可發(fā)送假造的惡意文件誘使目標(biāo)用戶點(diǎn)擊連接，以下載或打開文件，繞過一般Windows會跳出提醒用戶當(dāng)心的對話窗口。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21412

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21412

12、CVE-2024-21410 （Microsoft Exchange Server 特權(quán)提升漏洞）

漏洞描述：攻擊者可利用該漏洞將用戶泄露的Net-NTLMv2哈希中繼到易受攻擊的Exchange Server，并以用戶身份進(jìn)行身份驗(yàn)證，提升權(quán)限、訪問敏感數(shù)據(jù)。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21410

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21410

13、CVE-2024-21351 （Windows SmartScreen 安全功能繞過漏洞）

漏洞描述：威脅者可向用戶發(fā)送惡意文件并誘導(dǎo)用戶打開文件來利用該漏洞，成功利用可能導(dǎo)致繞過 SmartScreen安全功能。該漏洞允許威脅者將代碼注入 SmartScreen 并可能獲得代碼執(zhí)行權(quán)限，從而可能導(dǎo)致數(shù)據(jù)泄露。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21351

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21351

14、CVE-2024-21338 （Windows 內(nèi)核特權(quán)提升漏洞）

漏洞描述：Microsoft Windows 內(nèi)核包含一個公開的 IOCTL，該漏洞在 appid.sys 中的 IOCTL（輸入和輸出控制）調(diào)度程序中存在訪問控制不足漏洞，允許本地攻擊者實(shí)現(xiàn)權(quán)限提升。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21338

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21338

15、CVE-2024-20359（Cisco ASA 和 FTD 權(quán)限升級漏洞）

漏洞描述：Cisco Adaptive Security Appliance (ASA) 、Cisco Firepower Threat Defense (FTD)存在安全漏洞，該漏洞源于從系統(tǒng)閃存讀取文件時對文件的驗(yàn)證不當(dāng)，可允許本地權(quán)限從管理員升級到根權(quán)限。攻擊者利用該漏洞可以在下次重新加載設(shè)備后在受影響的設(shè)備上執(zhí)行任意代碼。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-rce-FLsNXF4h

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-20359

16、CVE-2024-20353（Cisco ASA 和 FTD 拒絕服務(wù)漏洞）

漏洞描述：Cisco Adaptive Security Appliance (ASA) Software 和 Cisco Firepower Threat Defense (FTD) Software存在安全漏洞，該漏洞源于解析 HTTP 標(biāo)頭時錯誤檢查不完整。攻擊者利用該漏洞導(dǎo)致設(shè)備意外重新加載，從而導(dǎo)致拒絕服務(wù)。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-websrvs-dos-X8gNucD2

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-20353

17、CVE-2024-1709（ConnectWise ScreenConnect 身份驗(yàn)證繞過漏洞）

漏洞描述：ConnectWise ScreenConnect 包含一個身份驗(yàn)證繞過漏洞，該漏洞允許對管理界面具有網(wǎng)絡(luò)訪問權(quán)限的攻擊者在受影響的設(shè)備上創(chuàng)建新的管理員級帳戶，直接訪問機(jī)密信息或關(guān)鍵系統(tǒng)。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-1709

18、CVE-2024-0519（Google Chrome V8 < 120.0.6099.224 越界內(nèi)存訪問漏洞）

漏洞描述：Google Chrome 120.0.6099.224前面的版本在通過runtime-object.cc的DeleteObjectPropertyFast刪除對象屬性時，可能未能正確處理內(nèi)存或?qū)傩杂成?，?dǎo)致越界內(nèi)存訪問漏洞。攻擊者可以通過誘導(dǎo)用戶訪問惡意鏈接并利用此漏洞進(jìn)行內(nèi)存讀取或?qū)懭?，從而可能?dǎo)致代碼執(zhí)行。

緩解措施：可通過官方補(bǔ)丁更新解決該威脅，免費(fèi)更新鏈接：https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-0519