CISA 命令美国联邦机构在 7 月 22 日前为 CVE-2022-26925 打补丁

近日，美国网络安全和基础设施安全局CISA再次将CVE-2022-26925漏洞添加到已知漏洞目录中，并命令联邦文职行政部门FCEB在7月22日前按规定执行修复。CVE-2022-26925漏洞允许未经身份验证的攻击者能够在匿名模式下通过NTLM的身份验证，这可能会导致攻击者夺取整个域的控制权。

据悉在今年5月，CISA曾将CVE-2022-26925 Windows LSA添加在“已知漏洞目录”中，并发布了强制修复的命令，但很快CISA就将这条公告删除。原因微软2022年5月的周二补丁虽然声称解决了CVE-2022-26925漏洞，但在安装后该问题仍然没有彻底解决。

CISA 在该问题的公告中写道：“ 2022年5月10日的微软常规更新中存在域控制器部署认证失败的问题，该问题可能导致企业可能会在服务器或客户端遇到服务的认证失败，如网络策略服务器（NPS）、路由和远程访问服务（RRAS）、Radius、可扩展认证协议（EAP）和受保护可扩展认证协议（PEAP）都会受到影响。”

微软在6月向CISA通报了问题的解决方案。根据美国联邦约束性操作指令（BOD）22-01，为了减少已知被利用的漏洞的重大风险，美国联邦文职行政部门FCEB必须在7月22日之前解决已发现的漏洞，以保护其网络免受利用目录中的缺陷的攻击。

网络安全专家们还建议私营机构审查该漏洞目录并解决其基础网络架构中的漏洞。

转自 FreeBuf，原文链接：https://www.freebuf.com/news/338298.html

封面来源于网络，如有侵权请联系删除