微软SharePoint被曝严重漏洞 可远程执行任意命令

美国网络安全与基础设施局（CISA）警告称，微软SharePoint服务存在严重漏洞且被广泛利用。

在其已知被利用漏洞（KEV）目录的新添加中，CISA表示CVE-2023-29357被用于获取提升的特权，远程攻击者可以利用欺骗的 JWT 验证令牌规避身份验证，从而在未打补丁的服务器上获得管理权限。

Microsoft将这个漏洞描述为特权升级漏洞，并在2023年6月的一次更新中修补了它。

根据TheHackerNews的报道，StarLabs SG的安全研究员Nguyễn Tiến Giang（Jang）在Pwn2Own温哥华黑客大赛中展示了此漏洞，并赢得了10万美元的奖金。他将该漏洞与CVE-2023-24955（5月修补）相结合，在受感染的端点上获得了远程代码执行能力。

后者的严重性评分为7.2。