CISA 将 Citrix 和 Git 漏洞列入已知被利用漏洞目录
CISA已指示所有联邦民事行政部门(FCEB)机构最迟于2025年9月15日前修复这些漏洞。该机构强调,利用这些漏洞可能使攻击者获得提升的权限、执行代码或劫持Git工作流程。
美国网络安全和基础设施安全局(CISA)在其"已知被利用漏洞"(KEV)目录中新增了三项漏洞,警告称恶意攻击者正在野外积极利用这些漏洞。这些漏洞包括两个影响Citrix Session Recording的漏洞和一个Git中的严重问题。

联邦机构面临重大风险
CISA表示:"这类漏洞是恶意网络攻击者的常见攻击媒介,对联邦企业构成重大风险。"
第一个Citrix漏洞编号为CVE-2024-8068,是Citrix Session Recording中的一个权限提升漏洞。该问题源于权限管理不当,允许攻击者将访问权限提升至NetworkService账户。但攻击者必须已经是目标会话记录服务器所在Windows Active Directory域中的认证用户。该漏洞CVSS v4.0评分为5.1,属于中等严重程度,但在Citrix软件与身份系统紧密集成的企业环境中仍具危险性。
Citrix漏洞可导致远程代码执行
第二个Citrix漏洞CVE-2024-8069由Citrix Session Recording中不受信任数据的反序列化引起。该漏洞可使攻击者在NetworkService账户权限下执行有限的远程代码。要利用此漏洞,攻击者必须与会话记录服务器处于同一内网的认证用户。与CVE-2024-8068类似,其CVSS v4.0评分为5.1,但由于能实现代码执行而备受关注。Citrix已发布补丁,Cloud Software Group强烈建议受影响客户将当前发布版(CR)和长期服务发布版(LTSR)分支都更新至最新修复版本。
Git漏洞引发供应链攻击担忧
第三个漏洞影响全球广泛使用的开发者工具Git,编号为CVE-2025-48384。该漏洞源于Git处理配置值中回车(CR)和换行(LF)字符的方式。在某些情况下,带有尾随回车的Git子模块路径可能被错误解析,导致子模块被检出到错误位置。如果存在指向子模块hooks目录的符号链接,且子模块包含恶意的post-checkout钩子,脚本可能在检出后无意中执行。该漏洞CVSS v4.0评分高达8.1,远高于Citrix漏洞,因为它为供应链式攻击打开了大门。Git已在2.43.7、2.44.4、2.45.4、2.46.4、2.47.3、2.48.2、2.49.1和2.50.1版本中修复此问题。
联邦机构限期修复
CISA已指示所有联邦民事行政部门(FCEB)机构最迟于2025年9月15日前修复这些漏洞。该机构强调,利用这些漏洞可能使攻击者获得提升的权限、执行代码或劫持Git工作流程。
相关攻略
网络安全的战场,正在经历一场静默但深刻的革命。AI技术的渗透,早已不是纸上谈兵,它正从根本上改写攻防双方的博弈规则。最近,上海谋乐网络科技有限公司(BUGBANK)的一场新品发布会,将这种“AI对AI”的对抗模式,从概念推向了实战前沿。 一个不容忽视的趋势是,网络安全的竞争核心,正从过去的人力与经验
近日,Linux生态系统中一项基础且至关重要的服务——打印服务CUPS被披露存在高危安全漏洞。根据网络安全媒体cyberkendra的报道,攻击者无需任何身份凭证,即可通过远程方式执行恶意代码,并最终获取系统的最高root权限。 这组漏洞由安全研究员Asim Manizada在人工智能工具的辅助下发
最近安全圈有个挺值得关注的消息:360自主研发的漏洞挖掘智能体,成功揪出了两个潜伏多年的“大家伙”——一个是Windows内核提权漏洞,另一个是Office远程代码执行漏洞。这两个漏洞可不是小打小闹,影响范围覆盖全球超过10亿的Windows和Office用户,从个人电脑到政企办公系统,甚至关键基础
就在“Copy Fail”漏洞的余波尚未平息之际,Linux内核安全领域再次遭遇重击。一个被命名为“Dirty Frag”的本地权限提升漏洞被公开披露,其威胁等级被安全专家评估为“核弹级”。与需要复杂前置条件的漏洞不同,任何本地用户理论上都可以通过运行一个利用程序,在短时间内获得系统的最高管理员权限
Linux 安全警报:一个稳定、隐蔽且极易利用的本地提权漏洞 最近,Linux安全领域曝出一个必须拉响最高级别警报的漏洞。它的代号是“Copy Fail”,编号CVE-2026-31431。这可不是那种需要复杂前置条件、利用起来看运气的“理论型”漏洞,而是一个能在本地稳定触发、一击即中的权限提升漏洞
热门专题
热门推荐
公安部就电子数据取证规则公开征求意见,拟将网络安全等行政案件纳入适用范围,并规范取证流程与核心概念。新规特别明确了获取密码、调取通讯内容等特殊程序,需经严格审批并保障当事人权利。配套法律文书也同步优化,以构建更规范且注重权利保障的取证体系。
理想L9和LIvis的定价策略刚掀起波澜,小鹏GX的最终价格就给出了更猛烈的回应——从近40万元的预售价直降至27万元起。用小鹏产品矩阵负责人吴安飞的话说,这叫“9系的产品,8系的价格”。 这12万元的下调,效果堪称立竿见影。发布会次日,小鹏集团港股股价一度大涨超8%。更关键的是市场订单:上市12小
5月21日,环塔拉力赛新疆且末赛段大营迎来了一位备受瞩目的访客——知名零售企业胖东来的创始人于东来。他专程前往长城汽车车队营地,与参赛车手及后勤团队进行了深度交流。据悉,于东来此次自驾越野之旅已历时一月,随行车队中包含多款国产越野车型。经过实地驾驶与多维度对比,他对以长城汽车为代表的国产越野车品质给
比特币官方入口在哪里?一个核心门户的权威指南 说起比特币,很多人第一反应是去找它的“官网”或“官方App”。但这里有个关键点需要先理清:比特币本质上是一种去中心化的全球数字货币,它不属于任何一家公司或机构,而是由一个庞大的、遍布全球的社区共同维护。因此,它并没有传统意义上由某个企业运营的“官方网站”
Ring-2 5-1T是什么 在当今大模型技术激烈竞争的赛道上,追求更长的上下文处理能力和更强大的深度推理性能已成为核心焦点。近日,蚂蚁集团旗下的inclusionAI团队重磅开源了Ring-2 5-1T模型,这是一个参数规模高达万亿级别的混合线性思考大语言模型。该模型基于先进的Ling 2 5架构





