Hackernews 编译，转载请注明出处：
网络罪犯通常会利用40多种常见漏洞，攻击全球范围内“没坏就不修”的系统。一份新的报告显示，他们使用旧软件漏洞的频率比新发现的漏洞要高。他们的主要目标是未打补丁并面向互联网的系统。
据CISA在内的国际网络安全机构联合编写的网络安全咨询报告，许多软件漏洞或漏洞链的概念验证代码是公开的，并受到了恶意网络行为者更广泛的利用。
关键、广泛、公开的漏洞为网络犯罪分子提供了低成本、高影响的工具。他们可以连续几年使用这些漏洞，因为组织在修补他们的系统方面进展缓慢。
常规利用的漏洞列表包括40多个条目。
大多数利用已知漏洞的成功可以在公开披露后的两年内实现，因为随着软件的更新或升级，这些漏洞的价值会逐渐降低。
报告写道:“黑客可能会优先开发严重的、全球普遍存在的常见漏洞和暴露的漏洞。”
及时打补丁会降低此类攻击的有效性，并促使黑客更加努力地工作，采用更昂贵、更耗时的方法。
零日漏洞攻击或供应链操作通常由老练的黑客执行。
网络安全机构建议供应商、开发人员和最终用户组织识别最容易被利用的漏洞，实施适当的缓解措施，遵循安全软件设计和开发实践，并相应地改善其网络安全状况。
建议以“及时更新IT网络资产上的软件、操作系统、应用程序和固件”开头。完整建议列表包括网络安全卫生的所有基本实践:
- 例行执行自动资产发现
- 实现健壮的补丁管理流程
- 记录所有IT/OT组件的安全基线配置
- 定期执行安全系统备份
- 维护更新的网络安全事件响应计划
- 对所有用户实施防网络钓鱼的多因素身份验证(MFA)
- 对所有VPN连接强制MFA
- 定期审查、验证或删除特权帐户
- 根据最小权限原则配置访问控制
- 正确配置和保护面向internet的网络设备
- 实现零信任网络架构(ZTNA)
- 持续监控攻击面
- 减少第三方应用程序和独特的系统/应用程序构建
- 与软件供应商讨论他们的设计安全程序
12个最容易被利用的漏洞:
CVE-2018-13379.对该漏洞的持续利用，影响了Fortinet SSL vpn，表明许多组织未能及时修补软件，仍然容易受到黑客的攻击。
CVE-2021-34473, CVE-2021-31207, CVE-2021-34523. ProxyShell漏洞影响Microsoft Exchange电子邮件服务器。利用允许远程参与者执行任意代码。这些漏洞存在于微软客户端访问服务中，该服务通常暴露在互联网上，允许用户通过移动设备和web浏览器访问他们的电子邮件，该服务在微软互联网信息服务(IIS)(例如，微软的web服务器)的443端口上运行。
CVE-2021-40539.此漏洞允许Zoho ManageEngine ADSelfService Plus中未经身份验证的远程代码执行(RCE)，并且与使用过时的第三方依赖项有关。
CVE-2021-26084.此漏洞影响Atlassian Confluence服务器和数据中心(政府和私营公司使用的基于网络的协作工具)。它可以使未经身份验证的网络参与者在易受攻击的系统上执行任意代码。这一漏洞在披露后一周内发布了概念验证后，迅速成为最常被利用的漏洞之一。
CVE-2021-44228. 这个被称为Log4Shell的漏洞影响了Apache的Log4j库，这是一个被整合到全球数千种产品中的开源日志框架。参与者可以通过向易受攻击的系统提交特制的请求来利用此漏洞，从而导致执行任意代码。该请求允许网络行为者完全控制系统。
CVE-2022-22954, CVE-2022-22960. 这些漏洞允许在VMware Workspace ONE Access、Identity Manager和其他VMware产品中使用RCE、特权升级和身份验证绕过。具有网络访问权限的恶意网络行为者可能触发服务器端模板注入，从而导致远程代码执行。
CVE-2022-1388.此漏洞允许未经身份验证的攻击者绕过F5 BIG-IP应用交付和安全软件上的iControl REST身份验证。
CVE-2022-30190. 此漏洞影响Windows中的Microsoft Support诊断工具(MSDT)。未经身份验证的远程网络攻击者可以利用此漏洞控制受影响的系统。
CVE-2022-26134.此严重的RCE漏洞影响Atlassian Confluence和数据中心。该漏洞最初可能是在2022年6月公开披露之前作为零日漏洞被利用的。
消息来源：cybernews，译者：Linn；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
转载请注明“转自 HackerNews.cc ” 并附上原文