过去两天，网络安全和基础设施安全局 (CISA) 在其已知被利用漏洞目录中添加了 41 个漏洞，其中包括 Android 内核和 Cisco IOS XR 的漏洞。

添加的漏洞来自多个年份，最早的漏洞是在 2016 年披露的，最近的漏洞是上周五修复的 Cisco IOS XR 漏洞。

Cisco IOS XR 漏洞被跟踪为 CVE-2022-20821，允许攻击者在容器化文件系统中写入任意文件、检索 Redis 数据库信息或写入 Redis 内存数据库。

其他有趣的缺陷是两个 Android Linux 内核缺陷，分别为 CVE-2021-1048 和 CVE-2021-0920。虽然这两个漏洞都存在于 Linux 内核中，但它们仅被用于针对 Android 设备的有限攻击。

“在 Linux 内核的 Unix 域套接字文件处理程序的垃圾收集中发现了一个 read-after-free 内存缺陷，用户同时调用 close() 和 fget() 并可能触发竞争条件，” RedHat 的安全公告解释 说CVE-2021-0920 漏洞。

至于 CVE-2021-1048，谷歌的威胁分析组 (TAG) 最近报告称，它与 安装 Predator 间谍软件的攻击链中的其他零日漏洞一起使用。

CISA 已要求联邦机构在 2022 年 6 月 13 日之前为 Android 和 Cisco 漏洞应用安全更新。

其他漏洞
CISA 目录中添加的其余 38 个缺陷 都具有已知的积极利用状态，因此该机构仅将它们作为其常规添加的一部分。

这些漏洞涉及思科、微软、苹果、谷歌、Mozilla、Facebook、Adobe 和 Webkit GTK 软件产品，范围从 2018 年到 2021 年。

其中包括一个被跟踪为 CVE-2020-0638的 Windows 特权提升漏洞，该漏洞 于 2020 年披露，但被发现仍被 Conti 勒索软件团伙 用于攻击企业网络。

随着威胁参与者继续在攻击中使用旧漏洞，管理员必须在所有设备上安装更新，包括可能仍在企业环境中运行的旧版本。

CISA 要求联邦机构在 2022 年 6 月 13 日之前修补周一添加的所有漏洞，而今天添加的其他 20 个漏洞需要在 2022 年 6 月 14 日之前修复。

要查看当前被利用的漏洞列表，您可以查看 CISA 的 Known Exploited Vulnerabilities Catalog，该目录可以各种离线格式下载。