2021年1月修复的阿帕奇Flink中的一个不正确的访问控制漏洞被添加到美国政府的已知已利用漏洞目录中，这意味着犯罪分子现在正在滥用这个漏洞来危害目标.
此外，它被列入目录意味着联邦机构需要在6月13日之前堵住软件部署的漏洞或完全停止使用该工具.
其他所有人也应该确保他们已经打了补丁.
如果可能的话，每个人都应该检查他们是否受到了这个漏洞的危害.
虽然现在已经知道这个漏洞正在被广泛利用，但它可能早些时候就被滥用了.
Flink是一个由阿帕奇软件基金会维护的开源、流和批处理框架.
这个特殊的漏洞，跟踪为CVE-2020-17519，可能允许窥探访问敏感数据.
ApacheFlink 1.11.0中引入的一个更改(也在1.11.1和1.11.2中发布)允许攻击者通过作业管理器进程的REST接口读取作业管理器的本地文件系统上的任何文件.
Flink项目的维护者Robert Metzger在三年前就注意到了这一点.
现在，阿帕奇在1.11.3和1.12.0版本中解决了这个问题.
不久之后，安全研究人员发布了利用代码.
而现在，在2024年5月，联邦机构和其他组织仍在使用不安全的版本，犯罪分子在CVE周围盘旋.
山姆大叔的网络安全和基础设施安全局周四将CVE-2020-17519添加到政府的已知利用漏洞目录中，但没有提供太多细节.
虽然数据库确实会注意到被利用的特定漏洞是否已被已知用于勒索软件活动，但该漏洞的状态目前被列为“未知”.
我们不知道现在是谁在滥用这个漏洞，也不知道是为了什么邪恶的目的.
就像所有添加到目录中的漏洞一样，国土安全部警告说：“这些类型的漏洞是恶意网络攻击者的常见攻击媒介，对联邦企业构成了重大风险.
”此外，正如注册官员谦虚地指出的：CVE-2020-17519说明了安装补丁或至少拥有良好的软件清单数据库的重要性.
看到名字里的2020年了吗？就在那时，一位来自蚂蚁安全FG实验室的乐于助人的研究人员发现了它，并向Flink的维护者披露了这一点.
但如果用户不升级或更新，或者不知道他们需要更新，简单地修复较新版本软件中的漏洞，无论是开放源码的还是关闭源码的，都是没有好处的.
这将我们带入今天的境地，政府机构和漏洞猎人对编写安全代码和及时应用补丁大喊大叫.
恶棍利用已知的漏洞并不令人惊讶.
在现阶段，值得关注的是什么阻碍了补丁，以及可以做些什么来自动化或简化补丁.®.