美国网络安全与基础设施安全局（CISA）将一个Linux内核漏洞CVE-2024-53104添加到已知被利用漏洞目录中。此漏洞是内核USB视频类驱动中的权限提升安全缺陷，源于对UVC_VS_UNDEFINED帧的解析不当，可能导致任意代码执行或拒绝服务攻击。谷歌的公告表明该漏洞已在实际攻击中被利用，并在2025年2月的安卓安全更新中修复。CISA已命令联邦机构在2025年2月26日前修复此漏洞，专家建议私营企业也应修复其基础设施中的相关漏洞。

🚨 **CISA警示：** 美国网络安全与基础设施安全局（CISA）将Linux内核漏洞CVE-2024-53104列入已知被利用漏洞目录，表明该漏洞已成为实际威胁。

🛡️ **漏洞详情：** CVE-2024-53104是Linux内核USB视频类驱动中的一个权限提升漏洞，攻击者可利用此漏洞提升权限，源于对UVC_VS_UNDEFINED帧解析不当。

📱 **谷歌回应：** 谷歌已在2025年2月的安卓安全更新中修复此漏洞，并指出有迹象表明该漏洞可能正遭受有限的、有针对性的利用。

🗓️ **修复时限：** CISA已命令联邦机构在2025年2月26日前修复此漏洞，以保护其网络安全。

美国网络安全与基础设施安全局（CISA）将 Linux 内核漏洞纳入其已知被利用漏洞目录。美国网络安全与基础设施安全局（CISA）把一个追踪编号为 CVE – 2024 – 53104 的 Linux 内核漏洞，添加到了其已知被利用漏洞（KEV）目录中。 2025 年 2 月的安卓安全更新修复了 48 个漏洞，其中包括零日漏洞 CVE – 2024 – 53104，该漏洞在实际攻击中已被积极利用。 谷歌的公告中写道：“有迹象表明，CVE – 2024 – 53104 可能正遭受有限的、有针对性的利用。” 和往常一样，谷歌并未透露利用上述漏洞进行攻击的细节。 该漏洞是内核 USB 视频类驱动中的一个权限提升安全缺陷。已认证的本地攻击者可以在低复杂度的攻击中利用此缺陷提升权限。 该问题源于对 UVC_VS_UNDEFINED 帧的解析不当，导致对帧缓冲区大小的计算错误，并有可能引发任意代码执行或拒绝服务攻击。 安全公告中写道：“在 Linux 内核中，以下漏洞已得到修复：media: uvcvideo: 在 uvc_parse_format 中跳过对 UVC_VS_UNDEFINED 类型帧的解析。由于在 uvc_parse_streaming 中计算帧缓冲区大小时未考虑这种类型的帧，这可能导致越界写入。” 根据《约束性操作指令（BOD）22 – 01：降低已知被利用漏洞的重大风险》，联邦民用执行部门（FCEB）各机构必须在截止日期前修复已识别的漏洞，以保护其网络免受利用该目录中漏洞的攻击。 专家们还建议私营企业查看该目录，并修复其基础设施中的相关漏洞。 CISA 命令联邦机构在 2025 年 2 月 26 日前修复此漏洞。