Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομής των ΗΠΑ (CISA), ανακοίνωσε εννέα νέα ελαττώματα στη συλλογή των ευπαθειών που εκμεταλλεύονται ενεργά, συμπεριλαμβανομένων δύο zero-days που επιδιορθώθηκαν πρόσφατα και επηρεάζουν το Google Chrome και το Adobe Commerce/Magento Open Source.
Δείτε επίσης: CISA σε admins: Κάντε patch την μέγιστης σοβαρότητας ευπάθεια SAP
Η ευπάθεια στο Chrome (CVE-2022-0609), χαρακτηρίζεται ως υψηλής σοβαρότητας, καθώς το σφάλμα μπορεί να επιτρέψει στους εισβολείς να εκτελούν αυθαίρετο κώδικα ή να ξεφύγουν από το περιβάλλον δοκιμών ασφαλείας του προγράμματος περιήγησης σε υπολογιστές που εκτελούν μη επιδιορθωμένες εκδόσεις του Chrome που αναφέρονται στο Chrome 98.0.4758.102.
Η Adobe κυκλοφόρησε μια επείγουσα ενημέρωση για να διορθώσει ένα κρίσιμο ελάττωμα (CVE-2022-24086) που εκμεταλλευόταν ενεργά “σε πολύ περιορισμένες επιθέσεις”, για να πραγματοποιήσει απομακρυσμένη εκτέλεση κώδικα, χρησιμοποιώντας εκμεταλλεύσεις που στοχεύουν τις εκδόσεις Adobe Commerce και Magento Open Source 2.4.3-p1/2.3. 7-σ2.
Η εταιρεία ασφάλειας ηλεκτρονικού εμπορίου Sansec, προειδοποίησε ότι το ελάττωμα του Magento είναι παρόμοιο με το κρίσιμο σφάλμα Magento Shoplift του 2015, το οποίο επέτρεψε στους κακόβουλους παράγοντες να καταλάβουν ευάλωτες τοποθεσίες Magento.
Η CISA είπε ότι όλες οι υπηρεσίες των ομοσπονδιακών μη στρατιωτικών εκτελεστικών υπηρεσιών (FCEB), πρέπει να αναπτύξουν ενημερώσεις κώδικα γι’ αυτές τις δύο ευπάθειες ασφαλείας έως την 1η Μαρτίου 2022.
Δείτε ακόμα: Η CISA προειδοποιεί για κρίσιμες ευπάθειες στην Airspan Networks Mimosa
Η πλήρης λίστα των εννέα ελαττωμάτων που προστέθηκαν σήμερα στον Κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών της CISA περιλαμβάνει έναν συνδυασμό παλαιών και νέων σφαλμάτων, που κυμαίνονται από το 2013 έως το 2022.
Οι ομοσπονδιακοί φορείς υποχρεούνται να επιδιορθώσουν τα συστήματά τους έναντι αυτών των ευπαθειών που χρησιμοποιούνται ενεργά, σύμφωνα με μια δεσμευτική επιχειρησιακή οδηγία (BOD 22-01) που εκδόθηκε από την CISA τον Νοέμβριο του 2021.
«Αυτά τα είδη τρωτών σημείων είναι ένας συχνός φορέας επιθέσεων για κάθε είδους κακόβουλους φορείς του κυβερνοχώρου και θέτουν σημαντικό κίνδυνο για την ομοσπονδιακή επιχείρηση», ανέφερε η υπηρεσία κυβερνοασφάλειας.
«Παρόλο που το BOD 22-01 ισχύει μόνο για τις υπηρεσίες FCEB, η CISA προτρέπει όλους τους οργανισμούς να μειώσουν την έκθεσή τους σε κυβερνοεπιθέσεις δίνοντας προτεραιότητα στην έγκαιρη αποκατάσταση των τρωτών σημείων του Καταλόγου ως μέρος της πρακτικής διαχείρισης ευπάθειας».
Η υπηρεσία κυβερνοασφάλειας των ΗΠΑ ζήτησε επίσης από τις υπηρεσίες να ενημερώσουν τα iPhone, Mac και iPad μέχρι τις 25 Φεβρουαρίου ενάντια σε ένα σφάλμα εκτέλεσης απομακρυσμένου κώδικα της Apple WebKit που έγινε αντικείμενο εκμετάλλευσης.
Δείτε επίσης: CISA σε ομοσπονδιακές υπηρεσίες: Κάντε update σε iPhones/Macs μέχρι τις 25 Φεβρουαρίου
Οι υπηρεσίες FCEB έπρεπε επίσης να επιδιορθώσουν 15 ακόμα ελαττώματα που ήδη εκμεταλλεύονταν από κακόβουλους χρήστες.
, ανακοίνωσε εννέα νέα ελαττώματα στη συλλογή των ευπαθειών που){kind=link}