主要观点总结
本文总结了近期安全资讯，包括漏洞情报、新增在野利用、安全事件、政策法规等
关键观点总结
关键观点1: 漏洞情报
包括Apache Struts文件上传漏洞、OpenWrt Attended SysUpgrade命令注入漏洞等
关键观点2: 新增在野利用
包括Cleo多产品无限制文件上传漏洞（CVE-2024-50623）被黑客积极利用，Windows通用日志文件系统驱动程序权限提升漏洞（CVE-2024-49138）正在被积极利用
关键观点3: 安全事件
包括国内最大IT社区CSDN被挂马事件、国家安全部指出境外间谍机关利用众包模式进行窃密活动等
关键观点4: 政策法规
包括四部门发布《中小企业数字化赋能专项行动方案（2025-2027年）》、国家发改委公布《电力监控系统安全防护规定》修订版、教育部和国家版权局发布《关于做好教育系统软件正版化工作的通知》、广电总局发布《管理提示（AI魔改）》以及美国商务部发布ICTS最终规则等
正文
1.
Cleo 多产品无限制文件上传漏洞(CVE-2024-50623)
12月13日，黑客正在积极利用 Cleo 管理文件传输软件中的零日漏洞来侵入公司网络并进行数据盗窃攻击。
该漏洞存在于该公司的安全文件传输产品 Cleo LexiCom、VLTrader 和 Harmony 中，该漏洞允许不受限制的文件上传和下载，从而导致远程代码执行。Cleo MFT 漏洞影响 5.8.0.21 及更早版本，是之前修复的漏洞 CVE-2024-50623 的绕过方法，Cleo于 2024 年 10 月解决了该漏洞。然而，修复并不完整，威胁行为者得以绕过该漏洞并继续利用它进行攻击。
Huntress 安全研究人员首次发现了Cleo MFT 软件的主动攻击，他们还在一篇新文章中发布了概念验证 (PoC) 漏洞，警告用户采取紧急行动。Huntress 解释道：“该漏洞正在被广泛利用，运行 5.8.0.21 的完全修补系统仍然可以被利用。”有证据表明， CVE-2024-50623被积极利用始于2024年12月3日，12月8日观察到的攻击量显著上升。虽然攻击原因尚不清楚，但这些攻击与美国、加拿大、荷兰、立陶宛和摩尔多瓦的以下 IP 地址有关。
攻击利用 Cleo 漏洞将名为“healthchecktemplate.txt”或“healthcheck.txt”的文件写入目标端点的“autorun”目录，这些文件由 Cleo 软件自动处理。当发生这种情况时，文件会调用内置的导入功能来加载其他有效负载，例如包含 XML 配置（“main.xml”）的 ZIP 文件，其中包含将要执行的 PowerShell 命令。PowerShell 命令与远程 IP 地址建立回调连接、下载额外的 JAR 负载并擦除恶意文件以阻碍法医调查。Huntress 表示，在后利用阶段，攻击者使用“nltest.exe”枚举 Active Directory 域，部署 webshell 以在受感染系统上进行持久远程访问，并使用 TCP 通道最终窃取数据。当完成对系统的利用后，威胁行为者会执行 PowerShell 命令来删除攻击中的文件，例如“C:\LexiCom\cleo.1142”。
Huntress 的遥测表明，这些攻击影响了至少十个使用 Cleo 软件产品的组织，其中一些组织从事消费品、食品行业、卡车运输和航运业务。Huntress 指出，在其可见范围之外还有更多的潜在受害者，Shodan 互联网扫描返回了 390 个 Cleo 软件产品的结果，绝大多数（298 个）易受攻击的服务器位于美国。
鉴于 CVE-2024-50623 的活跃利用以及当前补丁（版本 5.8.0.21）的无效性，用户必须立即采取措施降低受到攻击的风险。建议使用防火墙，并限制对 Cleo 系统的外部访问。
参考链接：
https://www.bleepingcomputer.com/news/security/new-cleo-zero-day-rce-flaw-exploited-in-data-theft-attacks/
2.
Windows 通用日志文件系统驱动程序权限提升漏洞(CVE-2024-49138)
12月11日，微软共发布了72个漏洞的补丁程序，修复了Windows 通用日志文件系统、Windows 轻量级目录访问协议 (LDAP)、Windows 远程桌面服务等产品中的漏洞，微软呼吁紧急关注 Windows 通用日志文件系统 (CLFS) 中已被利用的零日漏洞。
反恶意软件供应商 CrowdStrike 报告了 CLFS 漏洞，该漏洞被标记为 CVE-2024-49138，CVE-2024-49138 是 Windows 通用日志文件系统 (CLFS) 驱动程序中的一个 EoP 漏洞，并被标记为正在被积极利用。该漏洞的 CVSS 严重性评分为 7.8/10。
CLFS 驱动程序漏洞允许攻击者通过基于堆的缓冲区溢出获得系统权限。微软警告称，成功利用该漏洞无需用户交互，且执行权限较低。按照惯例，该公司没有发布入侵指标 (IOC) 或任何其他遥测数据来帮助防御者寻找入侵迹象。
在过去五年中，CLFS（用于数据和事件记录的 Windows 子系统）中至少有 25 个已记录的漏洞。今年早些时候，微软表示正在试验一项重要的新安全缓解措施，以阻止针对 Windows CLFS 漏洞的网络攻击激增。
建议管理员和家庭用户尽快测试和部署微软官方发布的补丁，以避免已知漏洞的攻击。
参考链接：
https://www.securityweek.com/microsoft-ships-urgent-patch-for-exploited-windows-clfs-zero-day/
