Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ έχει προσθέσει στον κατάλογό της Γνωστές Εκμεταλλευόμενες Ευπάθειες έξι ευπάθειες που επηρεάζουν προϊόντα από
τι
ς Apple, Adobe, Apache, D-Link και Joomla.
Ο κατάλογος Known Exploited Vulnerabilities, ή KEV για συντομία, περιέχει ζητήματα ασφάλειας που έχουν εκμεταλλευτεί ενεργά στη φύση. Είναι ένας πολύτιμος πόρος για οργανισμούς σε όλο τον κόσμο στη διαδικασία διαχείρισης ευπάθειας και ιεράρχησης προτεραιοτήτων.
«Αυτοί οι τύποι τρωτών σημείων είναι συχνοί φορείς επιθέσεων για κακόβουλους κυβερνοχώρους και θέτουν σημαντικούς κινδύνους για την ομοσπονδιακή επιχείρηση».
Διαβάζει την ειδοποίηση της CISA
.
Η
CISA
έδωσε
προθεσμία
στις ομοσπονδιακές
υπηρεσίες
έως τις 29 Ιανουαρίου για να επιδιορθώσουν τα έξι ελαττώματα που χρησιμοποιήθηκαν ενεργά ή να σταματήσουν να χρησιμοποιούν τα ευάλωτα προϊόντα.
Τα έξι τρωτά σημεία που επισημάνθηκαν αυτή τη φορά είναι τα ακόλουθα:
-
CVE-2023-27524
– Μη ασφαλής προεπιλεγμένη προετοιμασία πόρων που επηρεάζει τις εκδόσεις του Apache Superset έως την 2.0.1. Η ευπάθεια υπάρχει όταν το προεπιλεγμένο SECRET_KEY δεν έχει αλλάξει, επιτρέποντας σε έναν εισβολέα να ελέγξει την ταυτότητα και να αποκτήσει πρόσβαση σε μη εξουσιοδοτημένους πόρους. (8,9 βαθμολογία «υψηλής σοβαρότητας») -
CVE-2023-23752
– Λανθασμένος έλεγχος πρόσβασης στο Joomla! 4.0.0 έως 4.2.7 που επιτρέπει μη εξουσιοδοτημένη πρόσβαση στα τελικά σημεία της υπηρεσίας Ιστού. (5,3 βαθμολογία «μέτριας σοβαρότητας») -
CVE-2023-41990
– Ελάττωμα απομακρυσμένης εκτέλεσης κώδικα στην επεξεργασία ενός αρχείου γραμματοσειράς που αποστέλλεται ως συνημμένο
iMessage
, που οδηγεί σε αυθαίρετη εκτέλεση κώδικα σε συσκευές Apple iPhone με iOS 16.2 και παλαιότερες εκδόσεις. (7,8 βαθμολογία «υψηλής σοβαρότητας») -
CVE-2023-38203
– Αποδεσμοποίηση μη αξιόπιστων δεδομένων στις εκδόσεις Adobe ColdFusion 2018u17 και παλαιότερες, 2021u7 και προγενέστερες, και 2023u1 και παλαιότερες, οδηγώντας σε αυθαίρετη εκτέλεση κώδικα χωρίς αλληλεπίδραση με τον χρήστη. (9,8 βαθμολογία «κρίσιμης σοβαρότητας») -
CVE-2023-29300
– Αποσειροποίηση μη αξιόπιστων δεδομένων στις εκδόσεις Adobe ColdFusion 2018u16 και παλαιότερες, 2021u6 και προγενέστερες, και 2023.0.0.330468 και παλαιότερες, οδηγώντας σε αυθαίρετη εκτέλεση κώδικα χωρίς αλληλεπίδραση με τον χρήστη. (9,8 βαθμολογία «κρίσιμης σοβαρότητας») -
CVE-2016-20017
– Ευπάθεια απομακρυσμένης έγχυσης εντολών χωρίς έλεγχο ταυτότητας σε συσκευές D-Link DSL-2750B πριν από το 1.05, που αξιοποιήθηκε ενεργά από το 2016 έως το 2022. (9,8 βαθμολογία «κρίσιμης σοβαρότητας»)
Ορισμένα από τα αναφερόμενα ελαττώματα έχουν χρησιμοποιηθεί σε επιθέσεις που αποκαλύφθηκαν μόλις πρόσφατα.
Για παράδειγμα, το CVE-2023-41990 χρησιμοποιήθηκε στην εκστρατεία «Operation Triangulation» που είναι ενεργή από το 2019 και ανακαλύφθηκε μόλις τον Ιούνιο του 2023 από την Kaspersky όταν μολύνθηκαν ορισμένες από τις συσκευές των ερευνητών της.
Αυτό είναι το τελευταίο στο σύνολο των τεσσάρων τρωτών σημείων που ένας παράγοντας απειλής εκμεταλλεύεται για να παρακάμψει τα μέτρα ασφαλείας σε iPhone που ανήκουν σε διάφορους στόχους σε όλο τον κόσμο, συμπεριλαμβανομένης της Ευρώπης.
Τα CVE-2023-38203 και CVE-2023-29300 αξιοποιήθηκαν από χάκερ από τα μέσα του 2023, αφού οι ερευνητές ασφαλείας απέδειξαν ότι οι ενημερώσεις κώδικα του πωλητή μπορούσαν να παρακαμφθούν.
Για άλλους, όπως το CVE-2023-27524, τα exploits proof-of-concept (PoC) κυκλοφόρησαν τον περασμένο Σεπτέμβριο, θέτοντας το έδαφος για ευρεία εκμετάλλευση από κακόβουλους παράγοντες.
Οι οργανισμοί και οι ομοσπονδιακές υπηρεσίες καλούνται να ελέγξουν τα περιουσιακά τους στοιχεία για τα παραπάνω ελαττώματα και άλλες ευπάθειες που αναφέρονται στο
Κατάλογος Kev
και εφαρμόστε τις διαθέσιμες ενημερώσεις ασφαλείας ή βήματα μετριασμού όπως απαιτείται.
VIA:
bleepingcomputer.com
