【安全资讯】CVE-2023-28461：Array Networks关键漏洞被纳入已知利用漏洞目录

概要：

美国网络安全和基础设施安全局（CISA）近日将CVE-2023-28461这一高危安全漏洞纳入其已知利用漏洞（KEV）目录。该漏洞影响Array Networks AG及其vxAG ArrayOS，CVSS评分高达9.8，表明组织迫切需要应对这一被积极利用的威胁。

主要内容：

CVE-2023-28461漏洞源于ArrayOS中的一个关键功能缺失身份验证检查，允许未经身份验证的攻击者远程读取敏感文件并在易受攻击的设备上执行任意代码。这可能导致系统完全被攻陷、数据外泄以及关键服务的中断。该漏洞主要影响运行ArrayOS AG 9.x版本（特别是9.4.0.481及更早版本）的设备，而不影响运行ArrayOS AG 10.x版本的系统。

为应对这一漏洞，Array Networks已发布ArrayOS AG 9.4.0.484版本，建议受影响的组织立即更新其设备。如果组织无法立即实施补丁，Array Networks提供了临时缓解措施，包括禁用特定功能（如客户端安全、VPN客户端自动升级和门户用户资源）以及实施黑名单规则以过滤恶意流量。

CISA已发出指令，要求联邦机构在2024年12月16日前应用修复措施并实施对策，以应对这一正在被积极利用的漏洞。相关证据表明，该漏洞的利用活动已在进行中，组织应高度重视并采取必要措施。