专家透露，一个比“永恒之蓝”更严重的漏洞在Windows中已经存在了一段时间，最终被发现并进行了修补。对于那些记性不好的人来说，Eter专家透露，一个比EternalBlue更严重的漏洞在Windows中已经存在了一段时间，最后才被发现并修补。

对于那些记性不太好的人来说，EternalBlue 是NSA 为Windows 构建的零日漏洞，它催生了WannaCry，这可能是有史以来最具破坏性的全球勒索软件威胁。

发现该缺陷的IBM研究人员表示，由于它存在于更广泛的**协议中，因此功能更加强大，使威胁行为者在实施攻击时具有更大的灵活性。

三个月的进步

该漏洞编号为CVE-2022-37958，并不是一个全新的漏洞，因为它是在三个月前发现并修复的。

消息是，没有人—— 包括研究人员和发布该补丁的微软—— 确切知道它有多危险。实际上，它允许威胁行为者在未经身份验证的情况下运行恶意代码。此外，它是一种蠕虫**，允许威胁行为者对其他易受攻击的端点触发自我扩散攻击的连锁反应。换句话说，利用此漏洞的恶意软件可能会像野火一样在设备上传播。

发现该代码执行缺陷的IBM 安全研究员Valentina Palmiotti 在与Ars Technica 讨论发现结果时表示，攻击者可以通过“任何经过身份验证的Windows 应用程序协议”触发该缺陷。

“例如，该漏洞可以通过尝试连接到SMB 共享或通过远程桌面来触发。其他一些示例包括暴露于Internet 的Microsoft IIS 服务器和启用了Windows 身份验证的SMTP 服务器。当然，如果不修补，它们可以也可以在内部被利用。”

当微软三个月前首次修补该漏洞时，它认为该漏洞只会允许威胁行为者从设备获取一些敏感信息，因此将其标记为“严重”。现在，该公司修改了评级，将其标记为“严重”，严重程度评分为8.1。

与“永恒之蓝”这个让安全专家和软件制造商忙于构建修复程序的零日漏洞不同，该漏洞的补丁已经发布了三个月，因此其影响应该是有限的。