最近，美国网络安全和基础设施安全局(CISA)在其已知漏洞目录中添加了两个漏洞。其中之一作为零日漏洞在Windows支持诊断工具(MSDT)中潜伏了两年多，并且它具有公开可用的利用代码。这两个安全问题都非常严重，并且是目录遍历漏洞，可以帮助攻击者在目标系统上植入恶意软件。MSDT中的一个安全漏洞被追踪为CVE-2022-34713并且非正式地称为DogWalk，它可能允许攻击者将恶意可执行文件放入Windows启动文件夹中。该问题最初是由研究员ImreRad于2020年1月向微软报告的，但他的报告被错误地归类为未描述安全风险而被驳回。今年，安全研究员j00sean再次引起了公众的关注，他总结了攻击者可以利用它达到什么目的，并提供了视频证明。成功利用该漏洞需要用户交互，这是一个很容易通过社会工程克服的障碍，尤其是在电子邮件和基于Web的攻击中，微软今天在一份公告中表示：在电子邮件攻击场景中，攻击者可以通过发送一个特殊的向用户发送精心制作的文件并说服用户打开该文件。在基于Web的攻击情形中，攻击者可能拥有一个网站（或利用接受或托管用户提供的内容的受感染网站），其中包含旨在利用此漏洞的特制文件。自6月初以来，0patch微补丁服务为大多数受影响的Windows版本（Windows7/10/11和Server2008至2022）提供了一个非官方补丁。Microsoft今天在2022年8月Windows安全更新中解决了CVE-2022-34713。该公司指出，该问题已在攻击中被利用。添加到CISA已知被利用漏洞目录中的第二个漏洞编号为CVE-2022-30333，是用于Linux和Unix系统的UnRAR实用程序中的路径遍历漏洞。攻击者可以利用此在目标系统上植入恶意文件，方法是在解压操作期间将恶意文件解压缩到任意位置。瑞士公司SonarSource在6月下旬的一份报告中披露了该安全问题，该报告描述了如何使用它进行远程代码执行以在未经身份验证的情况下破坏Zimbra电子邮件服务器。本月早些时候，被利用的代码被添加到Metasploit渗透测试软件中。对于这两个漏洞，美国联邦机构预计将在8月30日之前应用供应商的更新。
