數(shù)字時代，一切都架構(gòu)在軟件、網(wǎng)絡(luò)、大數(shù)據(jù)之上。由于硬件、軟件、協(xié)議在具體實(shí)現(xiàn)或操作系統(tǒng)安全策略上總會存在缺陷，所以漏洞無法避免。在即將過去的2024年中，安全漏洞數(shù)量持續(xù)增長，類型日趨多樣化。據(jù)360漏洞情報平臺全網(wǎng)漏洞監(jiān)測顯示，2024年全球范圍內(nèi)共計(jì)披露出44622個新的安全漏洞，相較于前一年同期增長了驚人的53.35%。更糟糕的是，伴隨AI技術(shù)的普及，攻擊者利用漏洞的門檻越來越低。利用漏洞針對社會重點(diǎn)行業(yè)發(fā)起的攻擊，造成了巨大的經(jīng)濟(jì)損失。這一顯著的數(shù)據(jù)增長不僅反映了安全環(huán)境的復(fù)雜性和多樣性，更警示著漏洞已成為具備強(qiáng)大威懾力的武器，讓全球數(shù)字空間面臨著前所未有的威脅挑戰(zhàn)。
CVE-2024-21410
2月，微軟發(fā)布一個Microsoft Exchange Server 權(quán)限提升漏洞CVE-2024-21410。攻擊者可利用它來繞過SmartScreen用戶體驗(yàn)并注入代碼，從而可能獲得代碼執(zhí)行權(quán)限。該漏洞嚴(yán)重威脅到全球近9.7萬臺Exchange服務(wù)器的安全，讓攻擊者可以提升權(quán)限，訪問敏感數(shù)據(jù)，甚至將服務(wù)器作為跳板進(jìn)行進(jìn)一步攻擊。
CVE-2024-21762
3月，F(xiàn)ortinet披露了FortiOS SSL VPN中的一個新的嚴(yán)重安全漏洞CVE-2024-21762，可能允許遠(yuǎn)程未經(jīng)身份驗(yàn)證的攻擊者通過特制的 HTTP 請求執(zhí)行任意代碼或命令，嚴(yán)重漏洞影響了全球約150000臺FortiOS設(shè)備。
CVE-2024-3094
3月，網(wǎng)絡(luò)安全機(jī)構(gòu)Openwall發(fā)現(xiàn)XZ Utils數(shù)據(jù)壓縮程序庫存在高危漏洞CVE-2024-3094，CVSSv3評分高達(dá)10分，屬于最高風(fēng)險級別。該漏洞一旦被利用，攻擊者將能在SSH連接過程中執(zhí)行任意惡意指令，獲取服務(wù)器上的一切敏感數(shù)據(jù)，并完全控制整個系統(tǒng)。同時，由于XZ Utils廣泛被Linux發(fā)行版和軟件所使用，多個主流Linux版本都受到影響，無數(shù)服務(wù)器和關(guān)鍵網(wǎng)絡(luò)設(shè)備面臨極大安全風(fēng)險。
CVE-2024-3400
4月，安全企業(yè)Palo Alto Networks發(fā)布安全公告，指出旗下防火墻存在危急漏洞CVE-2024-3400，CVSS風(fēng)險評分達(dá)到10分，此漏洞存在于防火墻操作系統(tǒng)PAN-OS的GlobalProtect功能，未經(jīng)授權(quán)的攻擊者有機(jī)會使用root權(quán)限，在防火墻上執(zhí)行任意程序代碼。
CVE-2024-4671
5月，Google發(fā)布公告稱Google Chrome Visuals釋放后重用漏洞CVE-2024-4671存在在野利用，攻擊者可通過誘導(dǎo)用戶打開惡意鏈接來利用此漏洞，從而獲取敏感信息或應(yīng)用程序崩潰。該漏洞不受Chrome MiraclePtr緩解機(jī)制防護(hù)，影響了包括Chrome在內(nèi)的基于Chromium開源項(xiàng)目的應(yīng)用程序，其設(shè)備量數(shù)以億計(jì)。
CVE-2024-38812
6月，中國安全團(tuán)隊(duì)在由360數(shù)字安全集團(tuán)和北京華云安信息技術(shù)有限公司聯(lián)合主辦的矩陣杯網(wǎng)絡(luò)安全競賽中發(fā)現(xiàn)了VMware vCenter Server中存在的兩個漏洞。其中，CVE-2024-38812是一個位于分布式計(jì)算環(huán)境/遠(yuǎn)程過程調(diào)用(DCERPC)系統(tǒng)中的堆溢出漏洞，CVSS評分為9.8。該漏洞允許攻擊者通過網(wǎng)絡(luò)在未打補(bǔ)丁的系統(tǒng)上遠(yuǎn)程執(zhí)行代碼，受損的堆內(nèi)存區(qū)域可能導(dǎo)致攻擊者在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。
CVE-2024-30080
6月，Microsoft發(fā)現(xiàn)一個嚴(yán)重漏洞CVE-2024-30080。攻擊者可以通過向 MSMQ 服務(wù)器發(fā)送特制的惡意MSMQ數(shù)據(jù)包來利用該漏洞.據(jù)微軟稱，如果在 Windows 安裝中啟用了該服務(wù)，名為 “Message Queueing “的服務(wù)將在 TCP 端口 1801 上運(yùn)行，通過快速搜索統(tǒng)計(jì)，發(fā)現(xiàn)有超過一百萬臺主機(jī)運(yùn)行著開放的 1801 端口，大概有近145萬臺。
CVE-2024-6387
7月，OpenSSH發(fā)現(xiàn)一個高危安全漏洞CVE-2024-6387，該漏洞可能導(dǎo)致基于glibc的Linux系統(tǒng)中以root權(quán)限執(zhí)行未經(jīng)身份驗(yàn)證的遠(yuǎn)程代碼。攻擊者利用該漏洞能夠?qū)崿F(xiàn)系統(tǒng)的完全入侵和接管，以最高權(quán)限執(zhí)行任意代碼、破壞安全機(jī)制、竊取數(shù)據(jù)，甚至保持持續(xù)訪問，至少存在1400萬個潛在易受攻擊的 OpenSSH 服務(wù)器實(shí)例。
CVE-2024-43047
10月，高通公司發(fā)布安全警告稱，其多達(dá)64款芯片組中的數(shù)字信號處理器（DSP）服務(wù)中存在一項(xiàng)嚴(yán)重的“零日漏洞”——CVE-2024-43047。該漏洞源于使用后釋放（use-after-free）錯誤，可能導(dǎo)致內(nèi)存損壞。影響范圍覆蓋智能手機(jī)、汽車、物聯(lián)網(wǎng)設(shè)備等多個領(lǐng)域，小米、vivo、OPPO、榮耀、蘋果等眾多手機(jī)品牌廠商都在其內(nèi)。
CVE-2024-10443
11月，NAS設(shè)備制造商群暉（Synology）公開披露了一個影響數(shù)百萬臺設(shè)備的零日漏洞CVE-2024-10443。該漏洞是一個未經(jīng)驗(yàn)證的零點(diǎn)擊漏洞，意味著它不需要任何用戶交互來觸發(fā)利用，從而允許攻擊者在群暉DiskStation和BeeStation NAS設(shè)備上執(zhí)行root級代碼，以竊取敏感數(shù)據(jù)并植入額外的惡意軟件。
除了以上十大典型案例外，通過梳理整合了2024年全年的安全漏洞，總結(jié)出幾大發(fā)展趨勢：
1.攻擊者開始更多地瞄準(zhǔn)VPN網(wǎng)關(guān)、防火墻、電子郵件安全網(wǎng)關(guān)等網(wǎng)絡(luò)邊緣設(shè)備。
根據(jù)360漏洞情報知識庫中的數(shù)據(jù)統(tǒng)計(jì)顯示，2024年網(wǎng)絡(luò)設(shè)備產(chǎn)品中發(fā)現(xiàn)漏洞超過1000個。網(wǎng)絡(luò)設(shè)備在企業(yè)網(wǎng)絡(luò)中具有關(guān)鍵作用，但由于產(chǎn)品的半硬件屬性，往往缺乏足夠的監(jiān)控和更新，經(jīng)常成為攻擊者入侵的首選目標(biāo)。
2.遠(yuǎn)程監(jiān)控和管理（RMM）工具依然是攻擊者的重要目標(biāo)。
由于其在企業(yè)網(wǎng)絡(luò)管理中的關(guān)鍵作用，一旦受到攻擊，可能帶來嚴(yán)重的安全隱患。
3.開源供應(yīng)鏈的安全漏洞仍然是攻擊者滲透的重要手段。
CI/CD工具漏洞并不是唯一能夠入侵開發(fā)或構(gòu)建環(huán)境的方式，惡意開發(fā)者也可能通過供應(yīng)鏈中的漏洞來獲取源代碼或植入后門。
4.以大模型為核心涌現(xiàn)的大量技術(shù)應(yīng)用背后，帶來了諸多新的漏洞威脅。
據(jù)Deep Instinct 發(fā)布的相關(guān)報告顯示，2024年有85%的網(wǎng)絡(luò)攻擊依賴于AI。今年8月，知名開源大模型開源軟件庫llama.cpp就公布了由360漏洞研究院發(fā)現(xiàn)的llama.cpp在加載模型和分布式推理場景中存在的多個安全漏洞，其中影響最大的漏洞是CVE-2024-42479, CVSS評分為9.8/10，如若被組合利用可實(shí)現(xiàn)遠(yuǎn)程命令執(zhí)行。
5.安全功能繞過讓攻擊更具威脅。
盡管遠(yuǎn)程代碼執(zhí)行漏洞始終是修補(bǔ)的優(yōu)先事項(xiàng)，但攻擊者往往也會利用一些較為“輕微”的漏洞，尤其是特權(quán)提升或安全功能繞過漏洞，這些漏洞在攻擊鏈中起著重要作用。
轉(zhuǎn)載自安全客