谷歌研究称：2022 年的零日漏洞有一半是先前漏洞的变种

Google Project Zero 在 2022 年上半年共观察到 18 个被利用的零日漏洞，其中至少有一半存在，因为之前的漏洞没有得到妥善解决。 根据 Google Project Zero 研究员 Maddie Stone 的说法，如果组织应用更全面的修补程序，今年迄今为止出现的九个疯狂的零日漏洞本可以避免。 “最重要的是，2022 年的零日中有四个是 2021 年的野生零日的变体。距离最初的野生零日被修补仅 12 个月，攻击者又带着原始漏洞的变体回来了，”斯通说。 这些问题中最近的一个是 Windows 平台中的Follina漏洞。跟踪为 CVE-2022-30190，它是一个MSHTML 零日漏洞的变体，跟踪为 CVE-2021-40444。 CVE-2022-21882是另一个 Windows 漏洞，它是去年未正确解决的野生零日漏洞的变体，即CVE-2021-1732。 iOS IOMobileFrameBuffer 错误 (CVE-2022-22587) 和 Chrome V8 引擎中的类型混淆缺陷 (CVE-2022-1096) 是去年发现的另外两个零日漏洞 -CVE-2021-30983和分别为CVE-2021-30551。 其他 2022 零日漏洞是未正确解决的安全缺陷的变体，包括CVE-2022-1364(Chrome)、CVE-2022-22620(WebKit)、CVE-2021-39793 (Google Pixel)、CVE-2022-26134(Atlassian Confluence ) 和CVE-2022-26925（称为 PetitPotam 的 Windows 缺陷）。 “在 Windows win32k [CVE-2022-21882] 和 Chromium 属性访问拦截器 [CVE-2022-1096] 漏洞的情况下，概念验证漏洞利用的执行流程已被修补，但根本原因问题没有得到解决：攻击者能够回来并通过不同的路径触发原始漏洞，”斯通解释说。 WebKit 和 PetitPotam 问题之所以出现，是因为尽管最初的漏洞已经得到解决，但它们在某个时候已经退化，这使得攻击者可以再次利用相同的漏洞。 “当在野外检测到 0-day 漏洞时，这就是攻击者的失败案例。这是我们安全维护者的一份礼物，让我们尽可能多地学习并采取行动确保该向量不能再次使用，”斯通指出。 确保正确和全面修复漏洞的建议包括分析其根本原因及其引入方式，分析与当前安全问题相似的漏洞，以及分析所采用的漏洞利用技术和补丁。 “透明地分享这些分析也有助于整个行业。这使开发人员和安全专业人员能够更好地了解攻击者对这些漏洞的了解，从而有望带来更好的解决方案和整体安全性，”Stone 总结道。