Σήμερα, η CISA διέταξε
τι
ς ομοσπονδιακές
υπηρεσίες
των
ΗΠΑ
να ασφαλίσουν τα συστήματά τους έναντι τριών προσφάτως διορθωμένων Citrix NetScaler και
Google Chrome
zero-days που εκμεταλλεύονται ενεργά σε επιθέσεις, πιέζοντας για την επιδιόρθωση ενός σφάλματος Citrix RCE εντός μιας εβδομάδας.
Η υπηρεσία
κυβερνοασφάλεια
ς
προστέθηκε
τα ελαττώματα του
Κατάλογος γνωστών εκμεταλλευόμενων ευπαθειών
σήμερα, λέγοντας ότι τέτοια τρωτά σημεία είναι «διάνυσμα συχνών επιθέσεων για κακόβουλους φορείς του κυβερνοχώρου» που θέτουν «σημαντικούς κινδύνους για την ομοσπονδιακή επιχείρηση».
Η Citrix προέτρεψε τους πελάτες την Τρίτη να επιδιορθώσουν αμέσως τις εκτεθειμένες στο Διαδίκτυο συσκευές Netscaler ADC και Gateway έναντι της ευπάθειας έγχυσης κωδικού CVE-2023-6548 και της υπερχείλισης buffer CVE-2023-6549 που επηρεάζει τη διεπαφή διαχείρισης Netscaler που θα μπορούσε να χρησιμοποιηθεί για απομακρυσμένη εκτέλεση και απομακρυσμένη απενεργοποίηση κώδικα -επιθέσεις υπηρεσίας, αντίστοιχα.
Όσοι δεν μπορούν να εγκαταστήσουν αμέσως τις ενημερώσεις ασφαλείας μπορούν να αποκλείσουν την κυκλοφορία δικτύου σε επηρεαζόμενες παρουσίες και να διασφαλίσουν ότι δεν είναι προσβάσιμες στο διαδίκτυο ως προσωρινή λύση. Σύμφωνα με την πλατφόρμα παρακολούθησης απειλών Shadowserver,
περισσότερες από 51.000 συσκευές Netscaler εκτίθενται στο διαδίκτυο
αυτή τη στιγμή, με
μόνο 1.500 έχουν τις διεπαφές διαχείρισης
προσβάσιμο μέσω Διαδικτύου.
Η CISA πρόσθεσε επίσης την πρόσβαση μνήμης εκτός ορίων CVE-2024-0519 στη μηχανή JavaScript Chromium V8 στη λίστα KEV της σήμερα. Αυτή είναι η πρώτη μηδενική ημέρα του Chrome που εκμεταλλεύεται στην άγρια φύση που επιδιορθώθηκε από την Google φέτος.
Μία εβδομάδα για να εξασφαλίσετε ευάλωτες περιπτώσεις NetScaler
Μετά τη συμπερίληψή τους στον κατάλογο KEV της CISA, οι Ομοσπονδιακές Πολιτικές Εκτελεστικές Υπηρεσίες των ΗΠΑ (FCEB) πρέπει να επιδιορθώσουν τις ευάλωτες συσκευές στα δίκτυά τους εντός συγκεκριμένου χρονοδιαγράμματος, όπως ορίζεται από μια δεσμευτική επιχειρησιακή οδηγία.
ΔΣ 22-01
) που εκδόθηκε πριν από τρία χρόνια.
Από τις τρεις επιδιορθωμένες πλέον μηδενικές ημέρες, η υπηρεσία κυβερνοασφάλειας θέλει να διορθωθεί η ευπάθεια CVE-2023-6548 που επηρεάζει τις διεπαφές διαχείρισης NetScaler ADC και Gateway εντός μιας εβδομάδας έως την επόμενη Τετάρτη, 24 Ιανουαρίου.
Τα άλλα δύο, η υπερχείλιση buffer CVE-2023-6549 NetScaler και το σφάλμα CVE-2024-0519 του Google Chrome, πρέπει να μετριαστούν εντός τριών εβδομάδων έως τις 7 Φεβρουαρίου.
Αν και η CISA δεν εξήγησε την ταχεία διαδικασία ενημέρωσης κώδικα CVE-2023-6548, η προειδοποίηση της Citrix ότι οι πελάτες πρέπει να ασφαλίσουν τις ευάλωτες συσκευές το συντομότερο δυνατό και ο αντίκτυπος της διεπαφής διαχείρισης του σφάλματος πιθανότατα έπαιξε σημαντικό ρόλο.
Παρόλο που το BOD 22-01 ισχύει μόνο για ομοσπονδιακούς οργανισμούς των ΗΠΑ, η CISA προέτρεψε όλους τους οργανισμούς (συμπεριλαμβανομένων των ιδιωτικών εταιρειών) να δώσουν προτεραιότητα στην επιδιόρθωση αυτών των ελαττωμάτων ασφαλείας το συντομότερο δυνατό.
VIA:
bleepingcomputer.com
