近期，美國網(wǎng)絡安全和基礎設施安全局（CISA）針對聯(lián)邦機構發(fā)出緊急安全通告，強調(diào)必須迅速應對Windows及Adobe ColdFusion中存在的安全漏洞，以有效抵御可能發(fā)生的網(wǎng)絡攻擊。

CISA已將這兩個高危漏洞納入其“已知被利用漏洞目錄”（KEV），并明確要求所有聯(lián)邦機構在限定的三周內(nèi)完成漏洞修復工作，以確保系統(tǒng)的安全性。

其中，Windows內(nèi)核漏洞（CVE-2024-35250）是一個由不受信任的指針取消引用引發(fā)的安全缺陷。該漏洞無需用戶交互，本地攻擊者即可利用此漏洞獲取系統(tǒng)最高權限。DEVCORE研究團隊在Pwn2Own 2024黑客大賽上，成功利用此漏洞攻破了裝有最新更新的Windows 11系統(tǒng)，凸顯了其嚴重性。

針對這一漏洞，微軟在2024年6月的補丁星期二發(fā)布了相應的修復補丁。然而，令人擔憂的是，漏洞利用的概念驗證代碼在今年10月已被公開上傳至GitHub，這意味著攻擊者可能已經(jīng)或正在利用此漏洞進行惡意活動。

另一方面，Adobe ColdFusion也存在一個嚴重的安全漏洞（CVE-2024-20767）。此漏洞源于訪問控制不當，使得未經(jīng)身份驗證的遠程攻擊者能夠讀取系統(tǒng)文件及其他敏感信息。攻擊者甚至可以利用暴露在互聯(lián)網(wǎng)上的ColdFusion服務器管理面板，繞過安全措施，執(zhí)行任意的文件系統(tǒng)寫入操作。

據(jù)Fofa搜索引擎統(tǒng)計，目前已有超過145,000個ColdFusion服務器暴露在互聯(lián)網(wǎng)上，但具體哪些服務器的管理面板可被遠程訪問仍難以確定。這一現(xiàn)狀無疑增加了網(wǎng)絡攻擊的風險。

Adobe在2024年3月已經(jīng)發(fā)布了針對此漏洞的修復補丁。然而，令人不安的是，多個概念驗證漏洞利用代碼隨后在網(wǎng)上被公開，這無疑加劇了網(wǎng)絡安全的嚴峻形勢。

面對這些嚴重的安全漏洞，CISA的警告無疑是對聯(lián)邦機構的一次重要提醒。迅速修復這些漏洞，加強網(wǎng)絡安全防護，已成為當前的首要任務。