内容摘要：2023年1月的漏洞报告，说实话，开局就让安全圈倒吸一口凉气。Fortinet的SSL-VPN漏洞CVE-2022-42475）在1月初被大规模利用，这个堆溢出漏洞不需要认证，攻击者直接往设备上发个恶

2023年1月的年月漏洞报告，说实话，份漏开局就让安全圈倒吸一口凉气。洞预Fortinet的年月SSL-VPN漏洞（CVE-2022-42475）在1月初被大规模利用，这个堆溢出漏洞不需要认证，份漏攻击者直接往设备上发个恶意请求就能远程执行代码。洞预国内某大型制造企业因为没及时打补丁，年月内部文件服务器被加密勒索，份漏损失超千万。洞预这不是年月个案，Fortinet官方通告发布后48小时内，份漏Shodan上暴露的洞预受影响设备就被扫描了超过20万次。

微软1月Patch Tuesday修复了97个漏洞，年月其中12个被评为Critical。份漏最扎眼的洞预是Windows CryptoAPI的欺骗漏洞（CVE-2023-21743），它允许攻击者伪造代码签名证书——想象一下，恶意软件披着“微软官方签名”的外衣，杀毒软件直接放行。我测试过这个漏洞的利用链，构造一个特制证书文件，Windows信任链完全没反应。另一个值得关注的是Outlook远程代码执行漏洞（CVE-2023-23397），预览邮件就能触发，不需要用户点击任何链接。这玩意儿被用于针对欧洲政府机构的定向攻击，攻击者发送带特殊属性的日历邀请，受害者只要收件箱同步了就中招。

开源生态这边，Apache Shiro 1.11.0之前版本存在认证绕过漏洞（CVE-2023-22602），路径解析差异导致拦截器被绕过。很多Java老项目还在用Shiro做权限控制，这个漏洞直接让防火墙形同虚设。有个电商客户跟我说，他们排查了三天才发现攻击者利用这个漏洞改了管理员密码。还有个细节，这个漏洞的利用代码在公开后24小时内就出现在Metasploit框架里，脚本小子都能一键打。

国内厂商也不太平。用友NC的JNDI注入漏洞（CNVD-2023-01463）在1月中旬被爆出，直接暴露在公网的财务系统成了重灾区。这个漏洞利用门槛极低，只需要构造一个恶意LDAP地址，就能让服务器加载远程恶意类。我亲眼看到某上市公司的ERP系统被植入挖矿木马，数据库CPU飙到100%。另一家云服务商的对象存储组件被曝出越权访问漏洞，导致部分用户私有文件可被枚举下载，厂商在论坛上低调发了公告，但影响面远不止公告里说的“少量用户”。

还有个被忽视的角落——物联网设备。某主流路由器固件被发现有硬编码后门账号（CVE-2023-22361），攻击者用admin:123456就能登录管理界面。这个漏洞在1月底被公开，但受影响的设备型号从2019年就停产了，意味着大量老旧设备永远不会有补丁。我家那台旧路由器正好中招，拆开看了下芯片，连安全启动都没启用。

1月整体来看，攻击者明显更倾向于打边界设备和高价值应用，不再浪费时间在鱼叉邮件上。零日漏洞的利用速度也在加快，Fortinet那个漏洞从公开PoC到出现大规模扫描只用了6小时。企业该做的不是追着补丁跑，而是梳理清楚哪些系统真正暴露在公网、哪些组件带病运行多年。安全这东西，别指望一次升级就高枕无忧，攻击者永远比你想象的更有耐心。