最新漏洞库

凌晨三点，最新CVE-2024-3400的漏洞PoC脚本已经在GitHub上转了三手。Palo Alto防火墙的最新GlobalProtect功能出了命令注入，CVSS评分10.0。漏洞我刷到这条的最新时候，群里已经有人贴出了批量扫描的漏洞IP段。这不是最新演习，是漏洞日常。

漏洞库这东西，最新听起来像图书馆，漏洞实际更像急诊室的最新分诊台。每天几十条新记录涌进来，漏洞真正能让你从床上弹起来的最新，也就那么两三条。漏洞NVD的最新更新速度最近越来越慢，MITRE那边倒是勤快，但光有编号没细节，跟给了你一把钥匙不告诉你门在哪没区别。我现在更依赖GitHub上的几个聚合repo，比如nomi-sec/PoC-in-GitHub，有人提交PoC就自动抓取，比官方渠道快半天。半天在安全圈里，够攻击者把全球资产扫两轮了。

说回CVE-2024-3400。这个洞有意思的地方在于，它藏在Telemetry功能里，一个大多数人根本不会去碰的组件。攻击者构造一个带命令注入的请求，防火墙直接以root权限执行。没有认证绕过，没有复杂链，就是简单的字符串拼接。代码审计的时候看到这种，你会想骂人——2024年了，还能在商业安全产品里看到os.system(user_input)这种写法，跟发现银行金库门用的是挂锁差不多。

漏洞库的另一个问题是噪音。CVE-2024-3094那个xz后门，炒得沸沸扬扬，实际上受影响的面窄得可怜。但媒体不管这些，标题一写“Linux全版本沦陷”，运维连夜升级内核，结果发现自己的发行版根本不在影响范围里。我见过一个团队，为了这个“史诗级漏洞”折腾了三天，最后发现他们跑的是CentOS 7，连受影响的systemd版本都没到。漏洞库不负责告诉你优先级，它只负责记录。判断哪些跟你有关，是你自己的事。

国内这边，CNVD和CNNVD的数据更新还算及时，但公开的PoC和细节少。有时候一个漏洞CNVD给了高危，你去搜利用方式，只有一段模糊的描述。反倒是国外的安全研究员，博客写得跟教程似的，步骤截图一应俱全。这种信息差在实战里很致命。你还在猜怎么触发，别人已经写成一键脚本了。

我现在养成了一个习惯：每天早上花十五分钟刷漏洞库，先看CVSS 9.0以上的，再看自己负责的组件相关的。剩下的，扫一眼标题就过。不是不重视，是精力有限。漏洞库不会替你思考，它只是一堆数据。真正有价值的是从这堆数据里筛出“这个洞我能利用”或者“这个洞我得赶紧修”的那几条。剩下的，都是背景噪音。

最后说个细节。CVE-2024-3400的补丁发布后，Palo Alto又连着发了三个hotfix，因为前两个补丁本身有bug。这种事在漏洞库的记录里不会写，但你在实际修复的时候会撞上。漏洞库告诉你“已修复”，现实告诉你“再等等”。这中间的落差，就是安全工程师的日常。