趋势科技呼吁企业立即修补Samba 开放源码软件漏洞

旗下ZDI 在Samba 重大漏洞揭露过程中扮演重要角色

 

香港 - Media OutReach - 2022年2月7日 - 全球网络保安方案领导厂商趋势科技（东京证券交易所股票代码：4704）再度展现其致力提升数码世界安全的承诺，旗下 Zero Day Initiative（ZDI）注一漏洞悬赏计划在发现并揭露 Samba 档案分享协定漏洞的过程中扮演重要角色，并呼吁企业修补相关漏洞。

 

有关 Samba 漏洞及如何降低其冲击的资讯，请参阅网誌及技术文件。

 

趋势科技威胁情报副总裁 Jon Clay 表示：不久前才发生 Log4j 漏洞，现在又出现一个新的漏洞，凸显出全球资讯保安团队在防範各式各样应用程式与开放源码软件保安风险方面充满挑战。而趋势科技在举办 Pwn2Own 黑客大赛期间发现了这个新的漏洞，藉此机会和开发人员合作来修正并揭露这个漏洞。所幸至目前为止，我们尚未听到任何实际的攻击案例。

 

趋势科技Pwn2Own 黑客大赛是一项每年固定在世界各地轮流举办的活动，竞赛项目考验参赛者发掘常用软件与系统最新漏洞及攻击手法的能力。这是趋势科技 ZDI 漏洞悬赏计划与全球威胁情报团队数千名研究人员为提升客户及全体线上社群网络保安所做的努力之一。

 

企业机构持续迈向数码转型已扩大了自身的受攻击面，并更加依赖软件来运作（尤其是开放源码软件），前述的努力显得更加重要。

 

这个最新发现的漏洞 (CVE-2021-44142) 在 CVSS 的漏洞严重性评分为 9.9 分，显示它可能对企业带来的严重冲击。这是一个 Heap 记忆体读写超出边界的漏洞，黑客一旦攻击成功就能从远端以系统管理员（root）身分执行任意程式码。

 

虽然目前网络上还未看到此漏洞的实际攻击案例，但企业必须在黑客开发出攻击程式码之前尽速完成修补，而这段时间已经越来越短。

 

为此，趋势科技呼吁所有企业机构皆应立即修补 CVE-2021-44142 漏洞或升级至最新的 Samba 版本，参考趋势科技技术文件上所提供的script检查Linux/unix是否有包含Samba漏洞，另外也可以透过Trend Micro Vision One的Custom Scripts 功能派送到已经安装 Trend Micro Vision One 代理程式的电脑上执行检查。

 

注一：此漏洞原本是在Pwn2Own Austin 2021大赛中由 STAR Labs 的 Nguyen Hoang Thach 和 Billy Jheng Bing-Jhong 所揭露。趋势科技ZDI 的 Lucas Leong 后来又发现了一些变种，也一併通报给 Samba 修正。此外，还有 DEVCORE 的研究人员蔡政达 (Orange Tsai) 也独立发现了原本的漏洞。ZDI 是全球最大非限定厂商独立漏洞悬赏计划，自 2005 年起便一直为提升软件安全而努力，持续提供奖励来鼓励研究人员发掘并负责任地揭露漏洞给厂商。

 

关于趋势科技

趋势科技为网络资讯保安方案全球领导厂商，致力建立一个安全的数码资讯交换世界。凭着 30 多年的资讯保安专业经验、全球威胁情报与持续不断的创新，趋势科技跨云端、网络、装置及用户端的网络资讯保安平台随时守护着全球数十万家企业机构及数百万用户。趋势科技身为云端及企业网络资讯保安领导厂商，我们的平台提供了各种强大的进阶威胁防御技术，专为如 AWS、Microsoft 及 Google 的环境提供最佳化、中央化视野及更快更有效的侦测及回应威胁。趋势科技共有 7000 多名员工，遍布全球 65 个国家及地区，协助企业机构保护其连网世界。www.trendmicro.com.hk

 

#趋势科技