(資料圖片)
上周五，美國網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局(CISA)在其漏洞(KEV)目錄中新增三個安全漏洞，具體如下：
CVE-2023-28432 (CVSS評分- 7.5)- MinIO信息泄露漏洞CVE-2023-27350 (CVSS評分- 9.8)-剪紙MF/NG不當訪問控制漏洞CVE-2023-2136 (CVSS評分-待定)-谷歌Chrome Skia整數(shù)溢出漏洞MinIO的維護人員在2023年3月21日發(fā)布的一份資訊報告中表示，在集群部署中，MINIO_SECRET_KEY和MINIO_ROOT_PASSWORD會還原所有環(huán)境變量，導致信息泄露。
據(jù)GreyNoise收集的數(shù)據(jù)顯示，在過去的30天里，來自美國、荷蘭、法國、日本和芬蘭等多達18個惡意IP地址試圖利用該漏洞。值得注意的是，這家威脅情報公司在上月底發(fā)布的警報文件中指出，OpenAI為開發(fā)者提供了一個參考方法，闡述了如何將他們的插件集成到ChatGPT上，主要是依賴于一個舊版本的MinIO，而該版本存在CVE-2023-28432的漏洞。
GreyNoise表示，OpenAI開發(fā)的新功能對于那些想在ChatGPT集成中訪問不同提供商實時數(shù)據(jù)的開發(fā)人員來說，的確是一個非常有價值的工具，但安全性始終應該是擺在首位的核心設(shè)計原則。
此外，KEV目錄中還添加了一個會致使PaperCut軟件遠程代碼執(zhí)行錯誤的漏洞。攻擊者可以通過該漏洞實現(xiàn)免身份驗證，并直接遠程運行任意代碼。
不過截至2023年3月8日，供應商已經(jīng)修復了該漏洞，并發(fā)布了PaperCut MF和PaperCut NG20.1.7,21.2.11和22.0.9版本。Zero Day Initiative已于2023年1月10日正式報告了該問題，并預計將于2023年5月10日發(fā)布更多技術(shù)細節(jié)。
本周早些時候，有一家總部位于墨爾本的公司分享了一則最新消息稱：有證據(jù)表明，在2023年4月18日左右，有攻擊者通過漏洞攻擊了未打補丁服務器。網(wǎng)絡(luò)安全公司北極狼(Arctic Wolf)表示，此前也發(fā)現(xiàn)了一些PaperCut服務器被入侵的情況。一經(jīng)入侵，RMM的工具Synchro MSP會直接在被損害系統(tǒng)上自動加載。
最后一個被添加至目錄的是谷歌Chrome漏洞，該漏洞會直接影響到Skia 2D圖形庫，并可以讓威脅者通過精心制作的HTML頁面執(zhí)行沙盒逃逸。
CISA建議美國聯(lián)邦民事行政部門(FCEB)機構(gòu)在2023年5月12日之前盡快修復這幾個漏洞，以確保其網(wǎng)絡(luò)安全。
參考鏈接：https://thehackernews.com/2023/04/cisa-adds-3-actively-exploited-flaws-to.html
標簽：
