CISA 為被利用的 Linux 內核錯誤訂購了緊急補丁

美國網絡安全和基礎設施安全局 (CISA) 已發布指令，要求聯邦機構立即解決 Linux 內核中的一個嚴重漏洞（編號為 CVE-2024-53104）。

這一高嚴重性缺陷會影響 Android 內核的 USB 視頻類 (UVC) 驅動程序，並已在針對性攻擊中被積極利用。

對於那些不知情的人來說，CVE-2024-53104是一個權限提升安全漏洞，影響 Linux 內核中的 USB UVC 驅動程序。

該問題是由於對 uvc_parse_format 函數中標記為 UVC_VS_UNDEFINED 的幀解析不當而引起的，這可能會導致幀的緩衝區大小計算錯誤，從而導致越界寫入。

成功利用此漏洞可能會允許經過身份驗證的攻擊者提升權限並在易受攻擊的 Android 手機上執行任意代碼，或者導致受影響的系統出現拒絕服務情況或系統崩潰。

為了響應對該漏洞的積極利用，CISA 已將 CVE-2024-53104 添加到其已知被利用漏洞 (KEV) 目錄中。

該機構已授權所有聯邦民事行政部門 (FCEB) 機構根據 2021 年 11 月的約束操作指令 (BOD) 22-01 在 2025 年 2 月 26 日之前應用補丁，以減輕 Linux 內核漏洞並保護其網絡免受潛在威脅。

“這些類型的漏洞是惡意網絡行為者的常見攻擊媒介，並對聯邦企業構成重大風險，”CISA發布週三發出警告。

CISA 還建議私人組織和用戶將其 Linux 發行版和 Android 設備更新到最新版本，以減輕與 CVE-2024-53104 相關的風險。

作為谷歌發布了2025年2月安全更新，修復了包括CVE-2024-53104在內的48個漏洞。

該公司注意到了對該缺陷進行“有限的、有針對性的利用”的跡象，並提供了補丁來提高 Android 設備的安全性。

但是，強烈建議用戶立即安裝最新的安全更新，以保護他們的設備和自身免受重大安全威脅。