Новости Полный контроль над продуктами Apple, Adobe и Apache: CISA выявляет шесть уязвимостей

[NewsMaker]

Агентство призвало госучреждения срочно обновить ПО, чтобы избежать разрушительных кибератак.

---

---

Агентство по кибербезопасности и защите инфраструктуры США ( CISA ) Для просмотра ссылки Войди или Зарегистрируйся свой каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerability, KEV ), включив в него 6 уязвимостей, затрагивающих продукты компаний Apple , Adobe , Apache , D-Link и Joomla.

Для просмотра ссылки Войди или Зарегистрируйся содержит информацию о проблемах безопасности, которые активно используются злоумышленниками. Сервис имеет большое значение для организаций по всему миру в процессе управления уязвимостями и их приоритизации. Такие уязвимости часто используются злоумышленниками для атак и представляют значительные риски для федеральных учреждений.

CISA установило срок до 29 января для устранения шести активно эксплуатируемых уязвимостей или прекращения использования уязвимых продуктов. В список вошли следующие недостатки:

1. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 9.8) – небезопасная инициализация ресурсов в Apache Superset версий до 2.0.1. Уязвимость возникает, когда не изменяется настройка SECRET_KEY по умолчанию, что позволяет атакующему аутентифицироваться и получить несанкционированный доступ к ресурсам;
2. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 5.3) – Неправильная проверка доступа в Joomla! версий 4.0.0 до 4.2.7, открывающая несанкционированный доступ к конечным точкам веб-службы.
3. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 7.8) – Уязвимость удаленного выполнения кода (Remote Code Execution, RCE) при обработке файла шрифта, отправленного в виде вложения iMessage, что приводит к произвольному выполнению кода на устройствах Apple iPhone, работающих на iOS 16.2 и более ранних версиях.
4. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 9.8) и Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 9.8) – Десериализация недоверенных данных в Adobe ColdFusion, что приводит к произвольному выполнению кода без взаимодействия с пользователем.
5. Для просмотра ссылки Войди или Зарегистрируйся (оценка CVSS: 9.8) – уязвимость удаленного внедрения команд без аутентификации в устройствах D-Link DSL-2750B до версии 1.05, активно эксплуатировалась с 2016 по 2022 год.

Некоторые из указанных ошибок были использованы в недавно раскрытых атаках. Например, CVE-2023-41990 использовалась в кампании «Операция Триангуляция» с 2019 года, Для просмотра ссылки Войди или Зарегистрируйся Лабораторией Касперского.

CISA призвала организации и федеральные агентства проверить свои системы на наличие вышеуказанных и других уязвимостей, перечисленных в каталоге KEV, и применить доступные обновления безопасности или шаги по смягчению последствий.