谷歌研究称：2022 年的零日漏洞有一半是先前漏洞的变种
我要评论Google Project Zero 在 2022 年上半年共观察到 18 个被利用的谷歌零日漏洞 ，其中至少有一半存在 ，研究因为之前的称年漏洞没有得到妥善解决 。
根据 Google Project Zero 研究员 Maddie Stone 的零洞有洞说法 ，如果组织应用更全面的日漏修补程序 ，今年迄今为止出现的半先变种九个疯狂的零日漏洞本可以避免。
“最重要的前漏是 ，2022 年的模板下载谷歌零日中有四个是 2021 年的野生零日的变体 。距离最初的研究野生零日被修补仅 12 个月 ，攻击者又带着原始漏洞的称年变体回来了 ，”斯通说 。零洞有洞
这些问题中最近的日漏一个是 Windows 平台中的Follina漏洞 。跟踪为 CVE-2022-30190 ，半先变种它是香港云服务器前漏一个MSHTML 零日漏洞的变体，跟踪为 CVE-2021-40444。谷歌
CVE-2022-21882是另一个 Windows 漏洞 ，它是去年未正确解决的野生零日漏洞的变体，即CVE-2021-1732。
iOS IOMobileFrameBuffer 错误 ( CVE-2022-22587 ) 和 Chrome V8 引擎中的类型混淆缺陷 ( CVE-2022-1096 ) 是去年发现的另外两个零日漏洞 - CVE-2021-30983和分别为CVE-2021-30551 。
其他 2022 零日漏洞是服务器租用未正确解决的安全缺陷的变体 ，包括CVE-2022-1364 (Chrome) 、CVE-2022-22620 (WebKit) 、CVE-2021-39793 (Google Pixel) 、CVE-2022-26134 (Atlassian Confluence ) 和CVE-2022-26925（称为 PetitPotam 的 Windows 缺陷） 。
“在 Windows win32k [CVE-2022-21882] 和 Chromium 属性访问拦截器 [CVE-2022-1096] 漏洞的情况下 ，概念验证漏洞利用的执行流程已被修补 ，但根本原因问题没有得到解决 ：攻击者能够回来并通过不同的路径触发原始漏洞 ，”斯通解释说。云计算
WebKit 和 PetitPotam 问题之所以出现 ，是因为尽管最初的漏洞已经得到解决，但它们在某个时候已经退化 ，这使得攻击者可以再次利用相同的漏洞 。
“当在野外检测到 0-day 漏洞时，这就是攻击者的失败案例 。这是我们安全维护者的一份礼物 ，让我们尽可能多地学习并采取行动确保该向量不能再次使用 ，免费模板”斯通指出 。
确保正确和全面修复漏洞的建议包括分析其根本原因及其引入方式 ，分析与当前安全问题相似的漏洞 ，以及分析所采用的漏洞利用技术和补丁 。
“透明地分享这些分析也有助于整个行业。这使开发人员和安全专业人员能够更好地了解攻击者对这些漏洞的了解 ，从而有望带来更好的解决方案和整体安全性 ，”Stone 总结道 。
相关文章
如今，无线网络安全的重要性不可低估。随着移动设备的普及和公共Wi-Fi热点的普及，数据泄露和其他网络安全威胁的可能性呈指数级增长。虽然可以采取许多不同的步骤来保护无线网络，但以下12个最佳实践对于确保2025-12-07
Check Point研究人员在 Python 包索引 (PyPI) 上发现了十个恶意包。这些软件包安装了信息窃取程序，允许攻击者窃取开发人员的私人数据和个人凭据。研究人员提供了有关恶意软件包的详细信2025-12-07
Bleeping Computer 网站披露，美国联邦贸易委员会(FTC)将对推特处以 1.5 亿美元巨额罚款，原因是该公司将收集到的电话号码和电子邮件地址，用于定向广告投放。根2025-12-07
跨链桥，区块链的基础设施之一，所实现的功能是允许用户将自己的资产从一条链转移至另外一条链上，是连接不同的区块链的关键桥梁，常使用中心化的方式进行实现。由于跨链桥自身往往存储有用户所质押的巨额资产，是W2025-12-07
如何利用Kurukshetra以交互式的方式学习如何进行安全编码
关于KurukshetraKurukshetra是一款功能强大的开源框架，该框架的主要目标就是通过交互式的问题解决方式来告诉广大研究人员或开发人员如何能够更好地实现安全编码。Kurukshetra本质2025-12-07
据了解，各大网络平台推出这一举措，是出于合规的考虑。为帮助公众识别虚假信息，让网络空间更清朗，国家互联网信息办公室于6月27日发布《互联网用户账号信息管理规定》，自2022年8月1日起施行。规定明确，2025-12-07
最新评论