CISA將Collabora與Arista VCO漏洞列入已遭利用清單
· 資安 · 美國
美國網路安全暨基礎設施安全局（CISA）以已遭實際利用為由，將兩個重大漏洞加入「已知遭利用漏洞」（KEV）清單：一個在Collabora Online的Built-in CODE Server，另一個在Arista的VeloCloud Orchestrator。SecurityWeek報導，VCO漏洞是重大SQL注入問題，可讓攻擊者觸及具特權的內部功能並取得操作員權限，且是四個月內第三個遭利用的Arista VCO零時差漏洞。被列入KEV清單代表攻擊已獲證實而非理論風險，並要求美國聯邦機構在規定期限內完成修補。使用這兩項產品的管理員應將修補視為急務。
為什麼重要：同一產品系列屢遭零時差攻擊，顯示攻擊者正系統性鎖定網路調度層，而列入KEV清單則提高聯邦與企業防禦者的合規壓力。
重點
- VCO漏洞為可取得操作員權限的重大SQL注入問題。
- 這是四個月內第三個遭利用的Arista VCO零時差漏洞。
- 列入KEV清單要求美國聯邦機構在規定期限內修補。