CISA 将 Citrix 和 Git 漏洞列入已知被利用漏洞目录
CISA已指示所有联邦民事行政部门(FCEB)机构最迟于2025年9月15日前修复这些漏洞。该机构强调，利用这些漏洞可能使攻击者获得提升的权限、执行代码或劫持Git工作流程。
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
美国网络安全和基础设施安全局(CISA)在其"已知被利用漏洞"(KEV)目录中新增了三项漏洞，警告称恶意攻击者正在野外积极利用这些漏洞。这些漏洞包括两个影响Citrix Session Recording的漏洞和一个Git中的严重问题。
联邦机构面临重大风险
CISA表示："这类漏洞是恶意网络攻击者的常见攻击媒介，对联邦企业构成重大风险。"
第一个Citrix漏洞编号为CVE-2024-8068，是Citrix Session Recording中的一个权限提升漏洞。该问题源于权限管理不当，允许攻击者将访问权限提升至NetworkService账户。但攻击者必须已经是目标会话记录服务器所在Windows Active Directory域中的认证用户。该漏洞CVSS v4.0评分为5.1，属于中等严重程度，但在Citrix软件与身份系统紧密集成的企业环境中仍具危险性。
Citrix漏洞可导致远程代码执行
第二个Citrix漏洞CVE-2024-8069由Citrix Session Recording中不受信任数据的反序列化引起。该漏洞可使攻击者在NetworkService账户权限下执行有限的远程代码。要利用此漏洞，攻击者必须与会话记录服务器处于同一内网的认证用户。与CVE-2024-8068类似，其CVSS v4.0评分为5.1，但由于能实现代码执行而备受关注。Citrix已发布补丁，Cloud Software Group强烈建议受影响客户将当前发布版(CR)和长期服务发布版(LTSR)分支都更新至最新修复版本。
Git漏洞引发供应链攻击担忧
第三个漏洞影响全球广泛使用的开发者工具Git，编号为CVE-2025-48384。该漏洞源于Git处理配置值中回车(CR)和换行(LF)字符的方式。在某些情况下，带有尾随回车的Git子模块路径可能被错误解析，导致子模块被检出到错误位置。如果存在指向子模块hooks目录的符号链接，且子模块包含恶意的post-checkout钩子，脚本可能在检出后无意中执行。该漏洞CVSS v4.0评分高达8.1，远高于Citrix漏洞，因为它为供应链式攻击打开了大门。Git已在2.43.7、2.44.4、2.45.4、2.46.4、2.47.3、2.48.2、2.49.1和2.50.1版本中修复此问题。
联邦机构限期修复
CISA已指示所有联邦民事行政部门(FCEB)机构最迟于2025年9月15日前修复这些漏洞。该机构强调，利用这些漏洞可能使攻击者获得提升的权限、执行代码或劫持Git工作流程。
相关攻略
3月31日消息，据媒体报道，360数字安全集团自主研发的360多智能体协同漏洞挖掘系统，近日在OpenClaw平台中发现了一处高危漏洞——MEDIA协议Prompt注入绕过工具权限，导致本地文件泄露
安全研究员 Hung Nguyen 发现，这一漏洞链揭示了应用程序处理嵌入式文件指令时存在的持续性风险。 开发者广泛使用的文本编辑器 Vim 近日曝出一个高危安全漏洞。该漏洞允许攻击者通过诱骗用户打
F5公司已发布解决方案指南，强烈建议各组织立即遵循最新缓解步骤。 美国网络安全和基础设施安全局（CISA）已将新披露的F5 BIG-IP系统漏洞纳入其已知已利用漏洞（KEV）目录，警告该漏洞正在真实
该漏洞源于Angular处理国际化（i18n）安全敏感HTML属性的方式。虽然Angular默认提供强大的内置净化机制来自动清理恶意输入，但当应用为敏感属性启用国际化时，这一关键保护会被绕过。 漏洞
Ubuntu 安全团队在公开发布前通过将 Ubuntu 25 10 的默认 rm 命令恢复为 GNU coreutils 缓解了风险，上游修复已应用于 uutils 代码库。 漏洞概述Ubuntu
热门专题
热门推荐
角色与光锥适配深度解析 为队伍挑选合适的光锥，往往能起到画龙点睛的作用。今天，我们就来深入聊聊几款功能各异的光锥，看看它们如何与特定命途的角色产生化学反应。 酣战如始 1 属性与适配角色：作为同谐命途的光锥，其核心属性集中在速度与能量恢复上。这无疑是那些专注于辅助队友、提供团队增益角色的优质选择。
什么是对冲？ 加密货币市场的价格变化，向来以快速剧烈著称。上午还在上涨的资产，下午就可能面临回调。在这种高波动的环境下，交易者们自然会寻求一种方法来保护自己的资金免受冲击。这种方法就是对冲——一种旨在降低风险、提升投资组合稳定性的核心策略。简单来说，对冲的核心逻辑在于：当你持有的主要加密货币资产价值
荣耀平板PC化升级计划公布，将带来PC交互、PC级应用支持等特性 三月十号，荣耀的一场重磅发布会，揭开了其平板产品线战略升级的序幕。在荣耀Magic V6旗舰新品发布会后，荣耀终端股份有限公司全场景产品线的负责人，@荣耀潇哥，进一步分享了一项备受关注的“平板PC化升级计划”。 在分享中，@荣耀潇哥清
5 分钟充好，9 分钟充饱，比亚迪闪充补上新能源转型最后一块拼图 “没有人比我们比亚迪更懂电池。”这句在发布会上掷地有声的口号，背后是实打实的技术突破。前不久的比亚迪“闪充中国改变世界”发布会上，王传福总裁正式揭晓了第二代刀片电池与配套的闪充技术，一组数据瞬间引爆了行业： 从10%到70%电量，只需
IT之家 3 月 31 日消息，OPPO K15 Pro 系列手机已官宣将于明日 14:30 正式发布。IT之家注意到，OPPO K15 Pro 手机已现身正式，并公布了核心配置信息，IT之家附如下