20230722-5th域安全微讯早报-NO.174

网空闲话网空闲话plus

2024-08-30

网络空间安全对抗资讯速递

2023年7月22日

最新热门网安资讯

Cyber-Intelligence Brief Express

Vol-2023-174 星期六

今日热点导读

1、美国网络总监办公室（ONCD）就网络安全监管协调与互惠征集公众意见2、7家科技公司同意白宫新的值得信赖的人工智能承诺
3、CISA警告：黑客利用NetScaler、网关设备中的RCE漏洞植入Webshell4、联邦调查局对美国参议员等人不当使用无证搜查权5、国际物流巨头DHL正在调查MOVEit违规事件
6、谷歌成立红队测试针对人工智能系统的攻击7、OpenMeetings的漏洞允许黑客劫持实例并在服务器上执行代码8、微软被盗的Azure AD密钥可提供对Microsoft云服务的广泛访问9、亚马逊同意支付对Alexa儿童隐私侵犯行为处以2500万美元的罚款10、HotRat木马通过盗版软件和游戏大量传播11、谷歌云构建漏洞几乎威胁整个软件供应链12、众议院民主党呼吁白宫让各机构采用NIST人工智能框架13、黑帽会议中深入探讨BGP软件漏洞14、CVSS4.0已经到来但补丁优先级仍然是一个难题

资讯详情

1、美国网络总监办公室（ONCD）就网络安全监管协调与互惠征集公众意见

美国政府周三（7月19日）宣布了一项有关网络安全监管协调和监管互惠的信息请求（RFI），并邀请利益相关者提供意见，以了解监管重叠和不一致所面临的现有挑战。该文件还致力于探索监管机构相互认可遵守共同基线网络安全要求的框架。RFI建立在政府在国家网络安全战略中做出的承诺的基础上，即“不仅协调法规和规则，还协调受监管实体的评估和审计”。ONCD鼓励学术界、非营利实体、行业协会、受监管实体以及其他在网络安全监管、风险管理、运营、合规性和经济学方面具有专业知识的人对本RFI做出回应。该机构还欢迎州、地方、部落和领地(SLTT) 实体以监管机构和关键基础设施实体的身份提交答复，具体说明其受监管或监管的部门。ONCD特别感兴趣的是适用于总统政策指令21和国家基础设施保护计划中确定的关键基础设施部门和子部门以及为关键基础设施的所有者和运营商提供通信、IT和网络安全服务的监管协调。公开征集活动截止9月15日。白宫发布的一份情况说明书称，“与许多其他领域不同，在技术层面上，一个部门的网络安全本质上与其他部门的网络安全相似。” “虽然受监管部门可能从事不同的活动，但他们通常使用相同的软件、硬件以及信息和通信技术和服务来实现互连或自动化。技术的共性还意味着基准风险缓解措施可能在实体和部门之间是通用的。”ONCD与管理和预算办公室(OMB)协调，负责领导政府在网络安全监管协调方面的工作。

https://industrialcyber.co/regulation-standards-and-compliance/oncd-seeks-input-on-cybersecurity-regulatory-harmonization-addressing-overlap-and-inconsistency/

2、7家科技公司同意白宫新的值得信赖的人工智能承诺

拜登政府和几家领先的人工智能技术公司已达成协议，优先考虑其产品的安全性，这是乔·拜登总统为对私营部门新兴技术进行一定程度的监管而做出的最新努力。周五（21日）宣布，包括亚马逊、Anthropic、谷歌、Inflection、Meta、微软和OpenAI在内的公司都致力于实现三个目标，以确保其人工智能产品在进入市场之前达到足够的安全水平。这三项承诺包括确保产品在上市前安全、将安全性作为固有的设计特征以及通过公开报告人工智能产品的使用限制来赢得公众的信任。一位白宫官员在周四的新闻发布会上表示：“为了充分发挥人工智能的潜力，拜登·哈里斯政府要求该行业遵守最高标准，以确保创新不会以牺牲美国人的权利和安全为代价。”即将发布的行政命令将进一步将管理人工智能风险的“关键的下一步”编入法典，并将在国内层面推进两党关于人工智能监管的立法，并参与有关人工智能系统使用的国际标准讨论。就像最近宣布的网络标签计划一样，内部和外部安全验证和审计程序将确认这些公司是否遵守白宫的新协议。这些承诺强调人工智能产品和模型的使用方式的透明度。除了要求正式发布有关系统限制和责任的出版物外，还要求公司记录与使用其人工智能产品相关的潜在偏见和社会风险。参与公司还将被要求投资于网络安全最佳实践和内部威胁防护措施。该协议还要求保护和评估人工智能模型权重（用于训练人工智能系统的价值组件）。

政府还要求人工智能制造商在其系统中添加水印，以减少生成人工智能内容中的欺骗行为。

https://www.nextgov.com/artificial-intelligence/2023/07/7-tech-companies-agree-white-houses-new-trustworthy-ai-commitments/388717/

3、CISA警告：黑客利用NetScaler、网关设备中的RCE漏洞植入Webshell

美国网络安全和基础设施安全局(CISA)发布了网络安全公告(CSA)，警告关键基础设施组织黑客利用未经身份验证的远程代码执行(RCE)漏洞影响NetScaler（以前称为Citrix）应用程序交付控制器(ADC)和NetScaler Gateway设备。“2023年6月，威胁行为者利用此漏洞作为零日漏洞，在关键基础设施组织的NetScaler ADC设备上投放Webshell。”CISA在周四（20日）的通报中表示。“攻击者试图横向移动到域控制器，但设备的网络分段控制阻止了移动。该通知补充说，受害组织发现了该漏洞，并向CISA和Citrix报告了该活动。Citrix于2023年7月18日发布了针对此漏洞的补丁。”安全通知提供了受害者与CISA共享的策略、技术和程序(TTP)以及检测方法。CVE-2023-3519是一个未经身份验证的RCE 漏洞，影响NetScaler ADC和NetScaler Gateway 13.1 13.1-49.13之前的版本。受影响的设备必须配置为网关（VPN虚拟服务器、ICA代理、CVPN、RDP代理）或身份验证、授权和审核(AAA)虚拟服务器才能利用。欧盟各机构、机构和机构的计算机应急响应小组也发布了建议，建议尽快安装最新的更新版本。Citrix本周早些时候发布了一份公告，称“NetScaler ADC（以前称为Citrix ADC）和 NetScaler Gateway（以前称为 Citrix Gateway）中发现了多个漏洞”。CISA详细说明，作为其初始漏洞利用链的一部分，黑客在ADC设备上上传了一个TGZ 件，其中包含通用Webshell、发现脚本和“setuid”二进制文件，并在子网上进行了SMB扫描。这些黑客还使用Webshell进行AD枚举并窃取AD数据。

https://industrialcyber.co/cisa/hackers-exploiting-rce-vulnerability-in-netscaler-gateway-devices-to-implant-webshells-cisa-warns/

4、联邦调查局对美国参议员等人不当使用无证搜查权

一项新解密的法院裁决显示，尽管联邦调查局对如何使用强大的外国监视工具进行了内部改革，但机构分析人员仍然不恰当地搜索该计划收集的情报，以获取有关美国参议员以及州参议员和法官的信息。此次披露标志着近几个月来第二次披露该局在根据《外国情报监视法》第702条生成的数据库中不适当地搜索国会议员。该法规允许政府在没有搜查令的情况下收集海外外国人的电子通信信息，除非立法者重新授权，该法规将于今年年底到期。白宫周五（21日）解密的法院裁决是秘密外国情报监视法院今年4月以来重新认证702计划的经过编辑的意见。周五的公告还包括一系列与认证相关的文件。拜登政府发起了长达数月的魅力攻势，以更新该计划。两党成员都呼吁对政府处理无意中收集到的有关美国公民的信息的方式进行更大的改革。政府认为，该工具用于打击从外国黑客的网络攻击到缉毒行动等各种行为。联邦调查局局长克里斯托弗·雷周五表示：“合规是一项持续的努力，我们最近宣布了新的额外问责措施。” “我们将继续专注于利用我们第702条的权力来保护美国人的生命并维护我们祖国的安全，同时维护公民权利和自由。”白宫在周五的新闻稿中没有透露公职人员的名字。此前披露的涉及一名联邦议员的不当搜查事件是在三月份，当时伊利诺伊州众议员达林·拉胡德 (Darrin LaHood) 声称联邦调查局多次“错误地”查询了他的名字。

https://therecord.media/section-702-senator-improper-fbi-search-white-house

5、国际物流巨头DHL正在调查MOVEit违规事件

国际物流巨头DHL的英国分公司表示，正在调查因使用MOVEit软件而导致的数据泄露事件，该软件已被俄罗斯勒索软件组织利用了近两个月。在 Recorded Future News的一份声明中，DHL确认其软件提供商之一受到影响MOVEit（Progress Software的文件共享工具）的漏洞的影响。“在得知这一事件后，DHL迅速与相关专家合作展开调查，以了解影响，”一位发言人表示。“这项调查正在进行中，当我们有更多信息可以分享时，我们将继续与受影响的人进行沟通。”DHL成为最新一家宣布与Clop 索软件团伙利用MOVEit漏洞相关的漏洞的大公司。Progress Software已对该软件进行了修补，但网络犯罪分子仍然能够找到未修补的目标。Emsisoft的研究人员一直在追踪受影响的公司数量，发现至少有383家组织受到影响，20,421,414人的信息因此被泄露。多个组织本周向缅因州监管机构提交了文件，确认了通过MOVEit访问的数据。一些银行和金融机构表示，数十万客户受到影响，而知名度较高的组织则证实存在违规行为，受害者人数较少。Coveware的研究人员周五（21日）发布了一份报告，表明Clop勒索软件组织最终可能仅从MOVEit活动中赚取7500万至1亿美元的收入，而这笔钱“来自于一小部分支付了极高赎金的受害者” 。

https://therecord.media/dhl-moveit-breach-investigation

6、谷歌成立红队测试针对人工智能系统的攻击

谷歌创建了一个专注于人工智能（AI）系统的红队，并发布了一份报告，概述了常见的攻击类型和吸取的教训。该公司在推出安全人工智能框架（SAIF）几周后宣布成立人工智能红队，该框架旨在为人工智能系统的开发、使用和保护提供安全框架。谷歌的新报告强调了红队对于人工智能系统的重要性，红队可以模拟的人工智能攻击类型，以及其他可能考虑成立自己的团队的组织的经验教训。谷歌表示：“人工智能红队与传统红队紧密结合，但也拥有必要的人工智能主题专业知识，可以对人工智能系统进行复杂的技术攻击。”该公司的人工智能红队扮演对手的角色，测试潜在攻击对使用人工智能的现实世界产品和功能的影响。例如，以提示工程为例，这是一种广泛使用的人工智能攻击方法，其中操纵提示以迫使系统以攻击者所需的特定方式做出响应。在谷歌分享的一个示例中，网络邮件应用程序使用人工智能自动检测网络钓鱼电子邮件并警告用户。该安全功能使用通用大型语言模型(LLM)（ChatGPT是最著名的LLM）来分析电子邮件并将其分类为合法或恶意。谷歌建议传统红队与人工智能专家联手创建现实的对抗模拟。它还指出，解决红队的调查结果可能具有挑战性，并且某些问题可能不容易解决。

https://www.securityweek.com/google-creates-dedicated-red-team-for-testing-attacks-on-ai-systems/

7、OpenMeetings的漏洞允许黑客劫持实例并在服务器上执行代码

网络安全公司Sonar警告称，Apache OpenMeetings中的三个漏洞可能会使组织遭受远程代码执行攻击。OpenMeetings是一款网络会议应用程序，用于在线会议、协作和演示，既可以作为独立软件，也可以作为Confluence、Jira和其他应用程序的插件。周四（20日），Sonar发布了有关OpenMeetings的三个漏洞（CVE-2023-28936、CVE-2023-29023和CVE-2023-29246）的信息，这些漏洞可能允许恶意攻击者接管管理员帐户并远程执行任意代码。根据Sonar的说法，逻辑缺陷和弱哈希比较可被利用来进行帐户接管。通过触发某些操作，攻击者可以创建未分配房间的房间邀请，这允许他们访问任何用户帐户，然后获得管理员权限。“由于对可配置项的验证不充分，攻击者可以使用获得的管理员权限在二进制路径之一中注入空字节。这可以用来运行任意二进制文件，从而导致远程代码执行，”Sonar指出。OpenMeetings将会议邀请绑定到特定房间和用户，并创建一个唯一的哈希值，然后用于检索邀请信息。三个漏洞中的第一个漏洞允许攻击者“枚举有效的邀请哈希值并兑换它们”，而第二个漏洞可被利用来获得对会话的不受限制的访问。Sonar强调，自我注册的攻击者可以链接这些漏洞来劫持实例并在底层服务器上获得远程代码执行。所有三个漏洞均在5月9日发布的Apache OpenMeetings 7.1.0版中得到解决。

https://www.securityweek.com/openmeetings-flaws-allow-hackers-to-hijack-instances-execute-code-on-servers/

8、微软被盗的Azure AD密钥可提供对Microsoft云服务的广泛访问

据Wiz安全研究人员称，Storm-0558窃取的微软私有加密密钥为他们提供的访问权限远远超出了雷德蒙德所说的受到威胁的Exchange Online 和Outlook.com帐户。微软于7月12日透露，攻击者入侵了大约两打组织的 Exchange Online和Azure Active Directory(AD)帐户。这是通过利用GetAccessTokenForResourceAPI中现已修补的零日验证问题来实现的，允许他们伪造签名的访问令牌并冒充目标组织内的帐户。受影响的实体包括美国和西欧地区的政府机构，其中包括美国国务院和商务部。周五（21日），Wiz安全研究员Shir Tamari表示，影响范围扩大到使用Microsoft OpenID v2.0运行的所有Azure AD应用程序。这是因为被盗密钥能够为个人帐户（例如Xbox、Skype）和多租户AAD应用程序签署任何OpenID v2.0访问令牌。虽然微软表示只有Exchange Online和Outlook受到影响，但Wiz表示，威胁行为者可以使用受损的Azure AD 私钥来冒充任何受影响的客户或基于云的Microsoft应用程序中的任何帐户。Tamari表示：“这包括托管的Microsoft应用程序，例如Outlook、SharePoint、OneDrive和Teams，以及支持Microsoft帐户身份验证的客户应用程序，包括那些允许‘通过Microsoft登录’功能的应用程序。”Wiz 首席技术官兼联合创始人Ami Luttwak还告诉BleepingComputer：“微软世界中的一切都利用Azure Active Directory身份验证令牌进行访问。”目前看来，很难确定事件的全部范围，因为有数百万个应用程序可能存在漏洞，包括微软应用程序和客户应用程序，而且其中大多数缺乏足够的日志来确定它们是否受到损害。

https://www.bleepingcomputer.com/news/security/stolen-azure-ad-key-offered-widespread-access-to-microsoft-cloud-services/

9、亚马逊同意支付对Alexa儿童隐私侵犯行为处以2500万美元的罚款

美国司法部和联邦贸易委员会(FTC)宣布，亚马逊已同意支付2500万美元罚款，以和解与该公司Alexa语音助理服务相关的涉嫌违反儿童隐私法的行为。自2018年5 起，亚马逊针对13岁以下儿童提供Alexa声控产品和服务。2023年5月，美国联邦贸易委员会(FTC)和美国司法部(DOJ)对亚马逊提出指控，指控该公司违反儿童隐私法，其中包括《FTC 法案》、《儿童在线隐私保护法案》(COPPA)和《COPPA规则》。这些指控是在亚马逊未能按照家长的要求删除孩子的录音和地理位置信息后提出的。诉状称，亚马逊“在相当长的一段时间内未能满足家长删除孩子录音的要求，继续保留这些录音的文字记录，并且没有透露它正在这样做，这也违反了COPPA。”此外，该公司本应根据要求删除用户的语音信息和地理位置数据，但却选择保留这些信息以供其潜在使用。亚马逊还因其Ring视频门铃服务侵犯隐私而面临500万美元的罚款。这笔罚款源于亚马逊旗下Ring家庭安全摄像头子公司员工的涉嫌行为，他们被指控对客户进行非法监视，并且未能充分防止黑客夺取用户摄像头的控制权。“虽然我们不同意FTC对Alexa和Ring的指控，并否认违反法律，但这些和解协议让这些问题都抛在了脑后，”5月份FTC提出投诉后，亚马逊告诉BleepingComputer。

https://www.bleepingcomputer.com/news/technology/amazon-agrees-to-25-million-fine-for-alexa-children-privacy-violations/

10、HotRat木马通过盗版软件和游戏大量传播

Avast最近的一项研究表明，“破解”版本的软件通常包含隐藏脚本，这些脚本会在受害者的计算机上安装各种类型的恶意软件。研究人员研究了针对Windows用户的特定恶意软件活动，其中被黑客攻击的软件通过各种torrent跟踪器和其他可疑网站分发。诱饵主要是来自Adobe（Photoshop、Illustrator、Master Collection）和Microsoft（Office和Windows图像）的流行程序，以及用于执行狭窄任务的小程序（IObit Driver Booster、Revo Uninstaller Pro等）。此外，游戏玩家也受到了打击，因为攻击者以完全相同的方式分发《战地3》、《帝国时代IV》、《红色警戒2》和《模拟人生4》等流行视频游戏的受感染副本。下载蜜罐时，受害者得到了他们最初想要的东西，但安装程序还包含一个AutoHotkey脚本，该脚本会启动AsyncRAT恶意软件的变体。Avas 研究人员将这种变体命名为HotRat。安装过程的第一步是获得管理员权限。由于几乎所有软件的安装程序都经常请求扩展权限，因此受害者不会发现任何可疑之处，并会提供必要的访问权限。然后，在恶意软件安装过程中，通过禁用防病毒软件并请求UAC权限来削弱系统保护。完全部署且活跃的HotRat恶意软件为攻击者提供了广泛的机会，从窃取登录名和密码到未经授权的屏幕记录、键盘记录、访问剪贴板，以及安装可以扩展恶意软件本已相当大的功能的其他恶意软件。Avast的研究强调了谨慎下载未经许可的软件的重要性，并且还展示了非常现实的风险，包括系统感染和机密数据泄露。

https://www.securitylab.ru/news/540230.php

11、谷歌云构建漏洞几乎威胁整个软件供应链

网络安全专家在谷歌云平台（GCP）中发现了一个权限升级漏洞，该漏洞可能允许攻击者将恶意代码注入应用程序映像并感染用户，从而导致供应链攻击。发现并报告该漏洞的Orca Security公司发现，该漏洞名为“Bad.Build”，主要影响Google Cloud Build(GCB)服务。研究人员表示：“通过滥用该漏洞并冒充默认的Cloud Build服务，黑客可以操纵Google Artifact Registry(GAR) 中的图像并注入恶意代码。”“任何由修改后的图像构建的应用程序都会受到感染。如果此类应用程序部署在供应商的客户处，风险就会从供应商环境转移到客户环境，从而对整个供应链构成严重威胁。”Orca Security补充道。该漏洞披露后，谷歌发布了部分修复程序，但并没有消除提权向量，只是撤销了该漏洞的权限。该公司本身将该漏洞描述为轻微。客户无需采取任何额外操作。该漏洞是由于Cloud Build自动创建默认服务帐户来代表用户执行项目构建所致。具体来说，该帐户被授予过多的权限，允许访问列出项目中所有权限的审核日志。攻击者可以滥用原本获得的“cloudbuild.builds.create”权限来冒充Cloud Build帐户、提升权限、泄露Google Kubernetes Engine (GKE) 映像并使用恶意代码对其进行修改。Nisimi解释说：“一旦部署了受感染的映像，攻击者就可以利用它并以root身份在docker容器中运行代码。”这并不是谷歌云平台第一次发现权限提升漏洞。2020年，Gitlab、Rhino Security Labs和Praetorian报告了类似问题。就在上周， SentinelOne和Permiso报告了针对GCP窃取凭证的攻击。

https://www.securitylab.ru/news/540224.php

12、众议院民主党呼吁白宫让各机构采用NIST人工智能框架

众议院民主党人周四（20日）敦促白宫管理和预算办公室强制联邦机构采用美国国家标准与技术研究院的人工智能风险管理框架，这可能会严重影响政府设计和开发人工智能系统的方式。众议院科学空间和技术委员会高级成员加利福尼亚州民主党人Zoe Lofgren与众议员Ted Lieu（加利福尼亚州民主党人）和Haley Stevens（密歇根州民主党人）致信OMB，敦促联邦机构和供应商遵循当前自愿的NIST AI指南来分析和减轻与该技术相关的风险。民主党表示，联邦政府必须采取协调一致的方法，确保人工智能等尖端技术得到负责任的使用，并且NIST人工智能框架是“各机构和供应商分析与人工智能相关的风险以及如何在考虑到这些风险的情况下设计和开发其系统的一个很好的起点。拜登政府近几个月来一直致力于让组织负责解决人工智能系统中可能存在的偏见，同时促进创新。2022年10月，它发布了人工智能“权利法案” 蓝图文件，随后NIST于1月发布了自愿风险管理框架。NIST人工智能框架文件列出了构建负责任的人工智能系统的关键的四个关键功能：治理、映射、测量和管理。该文件是一份“道路规则”，NIST的高级技术顾问希望能为政府部门和大大小小的私营企业提供一个起点，以决定如何规范其对技术的使用。目前，组织可以自愿采用该框架。美国商务部长吉娜·雷蒙多 (Gina Raimondo) 在4 份表示，NIST的人工智能框架代表了人工智能技术监管指导的“黄金标准”，迄今为止受到了业界的热烈欢迎。共和党人还支持联邦机构在未来创建和设计人工智能时采用NIST人工智能框架。

https://fedscoop.com/dems-push-biden-admin-to-mandate-nist-ai-framework/

13、黑帽会议中深入探讨BGP软件漏洞

尽管网络安全行业投入了如此多的人力、时间和金钱，但整个类别的漏洞却可以在雷达之下潜藏。但在下个月举行的Black Hat USA会议上，Forescout的研究人员将辩称，这种情况正是由于边界网关协议(BGP)实施中的缺陷而发生的。对于互联网来说，没有什么技术比BGP更重要了，BGP管理着数据包如何在网络之间传输。它在全球网络中的地位赢得了国家级参与者、安全社区和三字母机构的关注。与任何协议规范一样，BGP需要将协议转换为可以在路由器上运行的代码的实现。与任何软件一样，该软件也可能包含漏洞。5月，dos Santos和他的同事发表了对七种BGP实现的研究结果：开源FRRouting、BIRD和OpenBGPD；以及专有的MikroTik RouterOS、Juniper Junos OS、Cisco IOS和 Arista EOS。通过模糊测试或自动分析，使用无效输入来测试软件是否存在漏洞，他们发现了三个新漏洞。CVE-2022-40302、CVE-2022-40318和CVE-2022-43681均被分配“中等”CVSS 分数6.5。如果攻击者可能欺骗或以其他方式破坏受信任的BGP对等方的IP地址，他们可能会执行拒绝服务(DoS)攻击，发送格式错误的数据包，以使受害者无限期地无响应。过去十年中，随着数据中心的大规模增长，BGP也被组织用来进行自己的内部路由，仅仅是因为已经达到了规模”，例如协调跨多个站点或数据中心的VPN。超过317,000台互联网主机启用了BGP，其中大部分集中在中国（约92,000台）和美国（约57,000台）。不到2,000个运行FRRouting（尽管不是全部，但不一定启用BGP），并且只有大约630个响应格式错误的BGP OPEN消息。为了减轻未来 BGP 软件实施可能出现的风险，多斯桑托斯建议组织首先对网络上运行的设备以及这些设备上运行的软件制定一份清晰的清单，然后集中精力尽快修补。

https://www.darkreading.com/vulnerabilities-threats/bgp-software-vulnerabilities-under-the-microscope-in-black-hat-session

14、CVSS4.0已经到来但补丁优先级仍然是一个难题

即将发布的通用漏洞评分系统 (CVSS)4.0版承诺修复安全漏洞严重性指标的许多问题。但漏洞专家表示，优先考虑补丁或衡量可利用性仍然是一个棘手的问题。事件响应和安全团队论坛(FIRST)上周在其年度会议上发布了CVSS下一版本的预览。版本4将取消模糊的“时间”指标，代之以更具描述性的“威胁”指标，并将在基本指标计算中添加其他因素。据FIRST称，这些变化提高了CVSS的整体可用性，并补充说，公司和组织可以尝试对当前漏洞进行评级的指标，并在发布常规版本之前提供反馈。CVSS 4为公司在计算基本指标时添加了两个新因素：攻击要求(AT)和用户交互(UI)，用于衡量攻击的复杂性以及攻击是否需要用户交互。此外，CVSS的一个组成部分是环境评分，该评分是特定于公司的，用于衡量漏洞对其IT环境可能产生的影响。FIRST在关于CVSS 4预览版的一份声明中表示：“其最新版本标志着向前迈出了重要一步，增加了对于团队至关重要的功能，这些功能对于使用威胁情报和环境指标进行准确评分的团队至关重要。”专家表示，更好的通用漏洞评分系统可以为公司提供更好的方法来决定哪些漏洞应优先修补，但它不应被视为万能药。新的CVSS在提供可操作的优先级评估方面仍然面临障碍。此外，新版CVSS 解读起来可能很复杂，有近二十个属性用于计算基本指标，这种复杂性可能会阻碍安全团队衡量风险的能力。

https://www.darkreading.com/vulnerabilities-threats/cvss-4-prioritizing-patches-hard-problem

THE END

往期推荐

1. 5th域安全微讯早报-Vol-2023-173