思科兩年前修補的AnyConnect漏洞遭到實際利用

美國網路安全及基礎設施安全局（CISA）本周一（10/24），將思科（Cisco）於2020年修補的兩個安全漏洞CVE-2020-3433與CVE-2020-3153，納入「已知遭濫用漏洞」（Known Exploited Vulnerabilities）目錄，顯示這兩個涉及AnyConnect Secure Mobility的安全漏洞已遭到駭客的實際利用。同一時間思科也更新了這兩個漏洞的說明。

AnyConnect Secure Mobility為思科所打造的遠端存取解決方案，宣稱可讓遠端工作者擁有高度安全的存取權限，以透過任何裝置存取企業網路並保護組織的安全。

這兩個漏洞皆與AnyConnect的Windows客戶端有關，其中的CVE-2020-3433允許已經身分認證的本地端駭客執行DLL挾持攻擊，取得系統權限以執行任意程式，屬於高風險漏洞。

CVE-2020-3153則是個不受控的路徑搜尋漏洞，駭客同樣必須先通過身分認證，但可藉由該漏洞以系統權限、將使用者所提供的檔案複製至系統目錄，只被列為中度漏洞。

思科是在2020年2月修補CVE-2020-3153，於2020年的8月修補CVE-2020-3433，在修補的當下並未察覺任何攻擊行動，只是已有CVE-2020-3433的概念性驗證攻擊程式。

不過，思科本周同步更新了這兩個安全漏洞的說明，指出已有駭客正試圖濫用這兩個安全漏洞。

CISA除了要求美國聯邦機構必須在今年11月14日修補相關安全漏洞之外，也建議所有企業或組織展開修補以策安全。