近些年，漏洞數量不斷增加，各行業面臨的安全挑戰日益嚴峻，特別是在工業、新能源、金融、交通、國防、醫療等關鍵領域，眾多數據泄露和勒索軟件攻擊事件明確顯示出，利用安全漏洞已成為攻擊者最頻繁采用的手段之一。

本文將對 2024 年迄今為止那些危害性高、影響廣泛且利用途徑多樣的安全漏洞進行詳細梳理，旨在為網絡安全從業者提供一個全面的安全漏洞信息匯編，以便能夠更好地了解這些漏洞，并據此制定相應的安全防御策略。

2022 年和2023 年的重點漏洞信息正在整理中，將陸續發布。

2024 年，重點安全漏洞盤點

1、CVE-2024-4040（CrushFTP 服務器端模板注入漏洞）

漏洞描述：CrushFTP 10.7.1 和 11.1.0 之前版本存在安全漏洞，該漏洞源于允許低權限的遠程攻擊者從 VFS 沙箱之外的文件系統讀取文件。

緩解措施:可通過官方補丁更新解決該威脅，免費更新鏈接：https://www.crushftp.com/crush10wiki/Wiki.jsp?page=Update

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-4040

2、CVE-2024-3400（Palo Alto Networks PAN-OS命令注入漏洞）

漏洞描述：Palo Alto Networks PAN-OS軟件的 GlobalProtect功能中存在命令注入漏洞，該漏洞影響啟用了 GlobalProtect 網關和設備遙測配置的 PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1 防火墻，未經身份驗證的威脅者可利用該漏洞在防火墻上以root權限執行任意代碼。

緩解措施：目前Palo Alto Networks正在開發PAN-OS 10.2、PAN-OS 11.0 和 PAN-OS 11.1 的修復程序（預計將于2024年4月14日發布），受影響用戶可在修復程序可用時更新到以下版本：

• PAN-OS 11.1 >= 11.1.2-h3 (ETA: By 4/14)
• PAN-OS 11.0 >= 11.0.4-h1 (ETA: By 4/14)
• PAN-OS 10.2 >= 10.2.9-h1 (ETA: By 4/14)

資料來源：http://www.dfxy.net/xxzx/2024/0415/c1137a24983/page.html

3、CVE-2024-3273（D-Link DNS-320 命令注入漏洞 ）

漏洞描述：D-Link DNS-320L、DNS-325、DNS-327L、DNS-340L等多個產品的/cgi-bin/nas_sharing.cgi腳本中存在硬編碼后門漏洞，以及可通過system參數導致命令注入漏洞，威脅者可組合利用這兩個漏洞通過HTTP GET請求將Base64編碼的命令添加到system參數從而在系統上執行任意命令，成功利用可能導致未授權訪問敏感信息、修改系統配置或拒絕服務等。

緩解措施：目前官方已不再對這些D-Link NAS設備提供支持和維護。鑒于該漏洞的利用代碼已公開，并且已發現被利用來部署惡意軟件以進行僵尸網絡攻擊，且互聯網上仍有大量在線暴露且未修復的D-Link NAS設備，受影響用戶應及時停用或更換受影響產品。

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-3273

4、CVE-2024-3272 （D-Link DNS-320 信任管理問題漏洞）

漏洞描述：該漏洞問題影響了組件HTTP GET請求處理程序的文件/cgi-bin/nas_sharing.cgi的某些未知處理，對參數user的操縱與輸入messagebus導致硬編碼憑據，漏洞已被公開披露并可能被利用，允許攻擊者執行經過身份驗證的命令注入，從而導致遠程、未經授權的代碼執行。

緩解措施：目前官方已不再對這些D-Link NAS設備提供支持和維護。受影響用戶可應用官方提供的安全建議，及時停用或更換受影響產品。

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-3272

5、CVE-2024-29748（Android Pixel 權限升級漏洞 ）

漏洞描述：Android Pixel 中包含的一個權限提升漏洞，該漏洞允許攻擊者中斷設備管理員應用觸發的恢復出廠設置。

緩解措施：用戶可以在設置 > 系統 > 軟件更新，查看 Pixel 手機是否獲得 2024 年 4 月更新。

資料來源：https://avd.aliyun.com/detail?id=AVD-2024-29748

6、CVE-2024-29745（Android Pixel 信息泄露漏洞 ）

漏洞描述：Android Pixel 在用于支持解鎖、刷新和鎖定受影響設備的快速啟動固件中包含一個信息泄露漏洞。用戶無需交互、無需額外的執行權限即可利用該漏洞，未初始化數據訪問可能導致信息泄露。

緩解措施：用戶可以在設置 > 系統 > 軟件更新，查看 Pixel 手機是否獲得 2024 年 4 月更新。

資料來源：https://avd.aliyun.com/detail?id=AVD-2024-29745

7、CVE-2024-27198（JetBrains TeamCity 身份驗證繞過漏洞）

漏洞描述：JetBrains TeamCity 在2023.11.4版本之前存在身份認證繞過漏洞，攻擊者可以利用該漏洞繞過認證機制，直接執行管理員操作，并結合后臺功能，造成遠程代碼執行漏洞。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://www.jetbrains.com/help/teamcity/previous-releases-downloads.html#Current+version%3A+TeamCity+2023.11.4

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-27198

8、CVE-2024-21893（Ivanti Connect Secure 代碼問題漏洞）

漏洞描述：Ivanti Connect Secure 、Ivanti Policy Secure9.x、22.x系列版本和Ivanti Neurons for ZTA存在代碼問題漏洞，該漏洞源于SAML 組件中的存在服務器端請求偽造漏洞，允許攻擊者無需身份驗證訪問某些受限資源。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://forums.ivanti.com/s/article/CVE-2024-21888-Privilege-Escalation-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure?language=en_US

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21893

9、CVE-2024-21887（Ivanti Connect Secure 命令注入漏洞）

漏洞描述：Ivanti Connect Secure 9.x、22.x系列版本、 Ivanti Policy Secure 9.x、22.x系列版本存在命令注入漏洞，該漏洞源于Web 組件中存在命令注入，允許經過身份驗證的管理員發送特制請求并在設備上執行任意命令。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://forums.ivanti.com/s/article/CVE-2023-46805-Authentication-Bypass-CVE-2024-21887-Command-Injection-for-Ivanti-Connect-Secure-and-Ivanti-Policy-Secure-Gateways?language=en_US

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21887

10、CVE-2024-21762（Fortinet FortiOS 緩沖區錯誤漏洞 ）

漏洞描述：Fortinet FortiOS存在緩沖區錯誤漏洞，該漏洞源于存在越界寫入，允許攻擊者通過特制請求執行未經授權的代碼或命令。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://fortiguard.com/psirt/FG-IR-24-015

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21762

11、CVE-2024-21412（Microsoft Windows 安全漏洞）

漏洞描述：漏洞影響網際網絡捷徑文件的安全功能，攻擊者可發送假造的惡意文件誘使目標用戶點擊連接，以下載或打開文件，繞過一般Windows會跳出提醒用戶當心的對話窗口。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21412

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21412

12、CVE-2024-21410 （Microsoft Exchange Server 特權提升漏洞）

漏洞描述：攻擊者可利用該漏洞將用戶泄露的Net-NTLMv2哈希中繼到易受攻擊的Exchange Server，并以用戶身份進行身份驗證，提升權限、訪問敏感數據。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21410

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21410

13、CVE-2024-21351 （Windows SmartScreen 安全功能繞過漏洞）

漏洞描述：威脅者可向用戶發送惡意文件并誘導用戶打開文件來利用該漏洞，成功利用可能導致繞過 SmartScreen安全功能。該漏洞允許威脅者將代碼注入 SmartScreen 并可能獲得代碼執行權限，從而可能導致數據泄露。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21351

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21351

14、CVE-2024-21338 （Windows 內核特權提升漏洞）

漏洞描述：Microsoft Windows 內核包含一個公開的 IOCTL，該漏洞在 appid.sys 中的 IOCTL（輸入和輸出控制）調度程序中存在訪問控制不足漏洞，允許本地攻擊者實現權限提升。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21338

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-21338

15、CVE-2024-20359（Cisco ASA 和 FTD 權限升級漏洞）

漏洞描述：Cisco Adaptive Security Appliance (ASA) 、Cisco Firepower Threat Defense (FTD)存在安全漏洞，該漏洞源于從系統閃存讀取文件時對文件的驗證不當，可允許本地權限從管理員升級到根權限。攻擊者利用該漏洞可以在下次重新加載設備后在受影響的設備上執行任意代碼。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-persist-rce-FLsNXF4h

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-20359

16、CVE-2024-20353（Cisco ASA 和 FTD 拒絕服務漏洞）

漏洞描述：Cisco Adaptive Security Appliance (ASA) Software 和 Cisco Firepower Threat Defense (FTD) Software存在安全漏洞，該漏洞源于解析 HTTP 標頭時錯誤檢查不完整。攻擊者利用該漏洞導致設備意外重新加載，從而導致拒絕服務。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-asaftd-websrvs-dos-X8gNucD2

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-20353

17、CVE-2024-1709（ConnectWise ScreenConnect 身份驗證繞過漏洞）

漏洞描述：ConnectWise ScreenConnect 包含一個身份驗證繞過漏洞，該漏洞允許對管理界面具有網絡訪問權限的攻擊者在受影響的設備上創建新的管理員級帳戶，直接訪問機密信息或關鍵系統。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-1709

18、CVE-2024-0519（Google Chrome V8 < 120.0.6099.224 越界內存訪問漏洞）

漏洞描述：Google Chrome 120.0.6099.224前面的版本在通過runtime-object.cc的DeleteObjectPropertyFast刪除對象屬性時，可能未能正確處理內存或屬性映射，導致越界內存訪問漏洞。攻擊者可以通過誘導用戶訪問惡意鏈接并利用此漏洞進行內存讀取或寫入，從而可能導致代碼執行。

緩解措施：可通過官方補丁更新解決該威脅，免費更新鏈接：https://chromereleases.googleblog.com/2024/01/stable-channel-update-for-desktop_16.html

資料來源：https://www.cnnvd.org.cn/home/globalSearch?keyword=CVE-2024-0519