CISA警告称，Windows和UnRAR的两个漏洞已被黑客利用新漏洞。其中一个漏洞存在于WindowsSupportDiagnosticTool（MSDT）中，作为零日（0-Day）存在了2年多，有充分的证据表明它被黑客利用了。这两个安全漏洞都标有高严重性分数，并且是目录遍历漏洞，可以帮助攻击者在目标系统上植入恶意软件。MSDT中的安全漏洞正式编号为CVE-2022-34713，非正式名称为DogWalk，可允许攻击者将恶意可执行文件放入Windows启动文件夹。该问题最初是由研究员ImreRad于2020年1月向微软报告的，但他的报告被错误地归类为未描述安全风险而被驳回。今年，安全研究员j00sean再次受到公众关注。他总结了攻击者可以利用它达到什么目的，并提供了视频证明：但是，利用这个漏洞需要与用户进行交互，这是一种通过社会工程利用它的简单方法。需要克服的障碍，尤其是在电子邮件和基于Web的攻击中，微软今天在一份公告中表示：在电子邮件攻击场景中，攻击者可以利用该漏洞。在基于Web的攻击情形中，攻击者可能拥有一个网站（或利用接受或托管用户提供的内容的受感染网站），其中包含旨在利用此漏洞的特制文件。自6月初以来，0patch微补丁服务为大多数受影响的Windows版本（Windows7/10/11和Server2008至2022）提供了一个非官方补丁。作为2022年8月Windows安全更新的一部分，Microsoft今天解决了CVE-2022-34713。该公司指出，该问题已在攻击中被利用。添加到CISA已知被利用漏洞目录的第二个漏洞，跟踪为CVE-2022-30333，是Linux和Unix系统的UnRAR实用程序中的路径遍历错误。攻击者可以利用此在目标系统上植入恶意文件，方法是在解压操作期间将恶意文件解压缩到任意位置。瑞士公司SonarSource在6月下旬的一份报告中披露了该安全问题，该报告描述了如何使用它进行远程代码执行以在未经身份验证的情况下破坏Zimbra电子邮件服务器。
