美國CISA限期聯邦機構修補WatchGuard與微軟漏洞

美國網路安全及基礎設施安全局（CISA）本周一（4/11）將8個漏洞加入「已知遭開採漏洞」（Known Exploited Vulnerabilities）目錄，其中包括一個WatchGuard漏洞CVE-2022-23176，以及兩個微軟漏洞CVE-2021-42278與CVE-2021-42287，要求聯邦機構在5月2日以前修補。

迄今CISA已公布超過600個已知遭開採漏洞，該目錄的用意在於要求美國聯邦機構在限定時間內修補或緩解相關漏洞，同時也建議任何私人企業、組織或其它政府機構儘速採取行動。

WatchGuard身為網路安全設備商，專門開發用來保護電腦及避免惡意程式或勒索軟體攻擊的相關產品，於今年2月修補的CVE-2022-23176現身於WatchGuard所生產的Firebox及XTM等系列的防火牆設備，它是個權限擴張漏洞，允許具備一般權限的駭客自遠端存取需要特權的管理期間，也成為俄羅斯駭客集團Sandworm建立Cyclops Blink殭屍網路的主要途徑之一。

事實上，根據WatchGuard的說明，該公司早在去年5月就發現且修補了CVE-2022-23176漏洞，該漏洞是由WatchGuard自行發現，當時並未察覺到攻擊行動，也未獲得漏洞編號，一直到去年11月，該公司收到FBI的通知，才知道漏洞已遭到駭客開採，但只有在相關防火牆的配置允許來自網路的無限制管理存取時，才會遭到駭客濫用。

科技媒體《Ars Technica》批評，WatchGuard去年進行安全更新時描述得太隱諱，僅說解決了幾個由內部工程師所發現的安全問題，既沒有公布漏洞編號，亦無漏洞細節，而讓用戶錯失修補機會。

總之，就算美國與英國已經聯手破壞了Cyclops Blink殭屍網路，但未修補的漏洞仍會持續遭到利用，才使得CISA要求限期修補。

另外兩個限期修補的安全漏洞則是微軟於今年11月釋出的、有關Windows Active Directory的CVE-2021-42278與CVE-2021-42287，不只是CISA，微軟也罕見地在去年12月公開呼籲用戶，應儘速修補這兩個已被開採的安全漏洞。