公布日期：2024-12-09 發布單位： 資訊科  
美國網路安全暨基礎架構管理署(Cybersecurity and Infrastructure Security Agency , CISA)與多個國際資安組織於11月12日共同發布資安公告，彙整2023年常見駭客利用47個漏洞資訊與修補方式。

2023年最常利用的47個漏洞涉及廠商共有28家(綜整如表1)。其中以Microsoft因其中5個漏洞被頻繁利用，成為受影響最嚴重的公司之一；2023年在這些漏洞中，影響最廣的前四大漏洞分別來自 Citrix 和 Cisco。其中，Citrix 的兩個漏洞 CVE-2023-3519 和 CVE-2023-4966，以及 Cisco 的兩個漏洞 CVE-2023-20198 和 CVE-2023-20273，成為攻擊者的主要目標，對全球資訊安全環境帶來重大挑戰。

Citrix 旗下產品NetScaler Gateway是一款提供使用者遠端訪問應用程式和數據的控制平台；NetScaler ADC是負責平台交付和負載平衡解決方案。2023年最常被利用的前二名漏洞CVE-2023-3519 (CVSS 3.x：9.8) 和 CVE-2023-4966 (CVSS 3.x：9.4)，均影響Citrix NetScaler Gateway和NetScaler ADC。CVE-2023-3519 允許未經身分驗證的使用者透過發送HTTP GET請求，導致NSPPE程序發生緩衝區溢出；而CVE-2023-4966則可能導致Session Token洩漏。

第三名與第四名則是影響Cisco為網路裝置所開發的維護作業系統Cisco IOS XE漏洞，分別為CVE-2023-20198 (CVSS 3.x：10.0) 和 CVE-2023-20273 (CVSS 3.x：7.2)，這兩個漏洞皆存在於Cisco IOS XE的Web UI，CVE-2023-20198允許未經授權的使用者獲得最初訪問權限，並建立本地使用者帳號和密碼，從而以一般使用者身分登入系統。CVE-2023-20273是一個命令注入漏洞，同樣存在於Cisco IOS XE的Web UI，與CVE-2023-20198相關，駭客可利用最高權限將惡意程式寫入檔案系統，進而控制整個系統。

建議企業與使用者儘速檢視系統，確保所有相關漏洞已被適當修補，以降低風險，更多漏洞資訊可至CISA官方網站查看2023 Top Routinely Exploited Vulnerabilities (https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-317a)。

表1、2023年最常利用的47個漏洞

項次 廠商 CVE編號
1 Apache CVE-2021- 44228
2 Apple CVE-2023-41064、CVE-2023-41061
3 Atlassian CVE-2023-22515、CVE-2023-22518、CVE-2021-26084、CVE-2022-26134
4 Barracuda Networks CVE-2023-2868
5 Cisco CVE-2023-20198、CVE-2023-20273、CVE-2017-6742
6 Citrix CVE-2023-3519、CVE-2023-4966
7 Dahua CVE-2021-33044、CVE-2021-33045
8 F5 CVE-2021-22986
9 FatPipe CVE-2021-27860
10 Fortinet CVE-2023-27997、CVE-2018-13379
11 Fortra CVE-2023-0669
12 GitLab CVE-2021-22205
13 Ivanti CVE-2023-35078、CVE-2023-35081、CVE-2019-11510
14 JetBrains CVE-2023-42793
15 Juniper CVE-2023-36844、CVE-2023-36845、CVE-2023-36846、CVE-2023-36847
16 Microsoft CVE-2020-1472、CVE-2023-23397、CVE-2019-0708、CVE-2022-41040、CVE-2021-34473
17 Netwrix CVE-2022-31199
18 Novi CVE-2023-29492
19 ownCloud CVE-2023-49103
20 PaperCut CVE-2023-27350
21 Progress CVE-2023-34362
22 Progress Telerik CVE-2019-18935
23 RARLAB CVE-2023-38831
24 Red Hat CVE-2021-4034
25 Sophos CVE-2022-3236
26 Unitronics CVE-2023-6448
27 Zoho CVE-2022-47966、CVE-2021-40539
28 N/A CVE-2023-44487

資料來源：TWCERT/CC