顶级安全供应商的0day漏洞是 2023 年利用率最高的 CVE

五眼联盟网络官员在周二的公告（https://www.cisa.gov/sites/default/files/2024-11/aa24-317a-2023-top-routinely-exploited-vulnerabilities.pdf）中表示，去年，0day漏洞占据了最常被利用的漏洞的大多数，比 2022 年有所增加，这使得网络犯罪分子能够攻击更高优先级的目标。

2023 年攻击者利用的五个漏洞分别来自网络设备、远程访问服务器和防火墙的三家供应商。

两个漏洞CVE-2023-3519和CVE-2023-4966影响了 Citrix 远程访问服务器。

另一对CVE-2023-20198和CVE-2023-20273影响了思科网络设备。

CVE-2023-27997影响了 Fortinet 防火墙。

去年，Citrix 和 Cisco 产品中分别存在的两对 CVE 构成了当年最容易被利用的四个漏洞。

攻击者可以集中精力破坏广泛使用的技术，从而对数千家组织造成深远而持续的损害。最受滥用的技术来自领先的安全供应商，这些供应商拥有重复的 CVE。

虽然该报告回顾了 2023 年，但同样的趋势仍在继续，并且仍在对广泛部署的安全设备和服务供应商的客户产生影响。

美国网络安全和基础设施安全局正试图通过鼓励科技公司消除其产品中的全部缺陷、编码错误和漏洞来清理软件供应商的代码。

该机构的安全设计计划就是这一努力的一部分，该计划旨在通过在设计和开发阶段将安全性融入产品中，将安全责任从客户转移到供应商。

自 5 月以来，包括思科和 Fortinet 在内的近 250 家公司已签署了CISA 的自愿承诺。

然而，问题仍然存在，缺乏进展凸显 CISA 改变根深蒂固的软件开发实践的能力有限。持续给客户带来问题的软件缺陷已经嵌入到市场上已有的产品中。

CitrixBleed

研究人员将CVE-2023-4966 CitrixBleed称为去年引起广泛关注的严重缓冲区溢出漏洞。CitrixBleed 漏洞与勒索软件攻击有关，这些攻击影响了世界上一些监管最严格的公司，包括波音和康卡斯特。

影响 Citrix Netscaler 应用交付控制和 Netscaler Gateway 的漏洞是去年利用率第二高的 CVE。

同一 Citrix 产品中的一个严重代码注入漏洞 CVE-2023-3519 是 2023 年利用率最高的 CVE。

CISA 的已知被利用漏洞目录可追溯到 2022 年，其中包含 16 个 Citrix 漏洞。其中六个 CVE 已知用于勒索软件活动。

思科 CVE 大量涌现

Cisco IOS XE 的 Web 用户界面中存在一个严重的0day漏洞CVE-2023-20198，该漏洞允许攻击者完全访问所有命令。

Cisco IOS XE 中的第二个漏洞 CVE-2023-20273 允许攻击者提升权限并将恶意植入程序写入文件系统。

思科 CVE 在 CISA 已知被利用的漏洞目录中出现了 74 次，其中五个漏洞已知被用于勒索软件活动。

Fortinet 漏洞在勒索软件活动中很受欢迎

影响 Fortinet FortiOS 和 FortiProxy SSL-VPN 的堆溢出漏洞CVE-2023-27997 使近 500,000 个防火墙面临被攻击的风险。该严重漏洞允许攻击者执行任意代码或命令。

CISA 的已知被利用漏洞目录包含 15 个 Fortinet 漏洞。其中八个 CVE 已知用于勒索软件活动。

MOVEit 漏洞造成的大规模信息泄露仅排名第六

Progress Software 是去年影响最深远的 CVE 之一，但它却未能跻身前五名，成为 2023 年利用率第六高的漏洞。

MOVEit 中的0day漏洞CVE-2023-34362导致 2023 年阵亡将士纪念日周末期间对 MOVEit 环境进行了一系列攻击。发起这些攻击的 Clop 勒索软件组织最终窃取了超过 2,700 个组织的高度敏感数据和 9300 万条个人记录。

针对 MOVEit 0day漏洞的攻击发展成为 2023 年规模最大、最严重的网络攻击。18 个多月后，MOVEit 漏洞造成的损害仍在浮现，并给下游受害者带来了严重问题。

美国医疗保险和医疗补助服务中心 7 月份收到通知，勒索软件组织利用 MOVEit 漏洞窃取了威斯康星州近 100 万医疗保险受益人的敏感数据。

周一，Hudson Rock 的研究人员警告称，另一起与 MOVEit 漏洞相关的数据泄露事件正在进行中。此次泄露包含 2023 年 5 月的数据，其中包括 25 家大公司的员工记录。

新闻链接：

https://www.cybersecuritydive.com/news/security-vendors-zero-days-top-cve-exploits/732814/

讲述普通人能听懂的安全故事