CISA bổ sung các lỗ hổng mới vào danh mục KEV gây ảnh hưởng đến nhiều ứng dụng

13:00 | 23/01/2024 | DOANH NGHIỆP

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) bổ sung vào danh mục Các lỗ hổng bị khai thác đã biết (KEV) sáu lỗ hổng ảnh hưởng đến các sản phẩm của Apple, Adobe, Apache, D-Link và Joomla.

CISA bổ sung các lỗ hổng mới vào danh mục KEV gây ảnh hưởng đến nhiều ứng dụng

Danh mục KEV bao gồm danh sách các lỗ hổng bảo mật đã bị khai thác trên thực tế. Đây là nguồn thông tin quan trọng cho các tổ chức, doanh nghiệp trong quá trình ưu tiên khắc phục và xử lý lỗ hổng bảo mật.

CISA đã gia hạn cho các cơ quan liên bang của Mỹ đến ngày 29/01/2023 để vá sáu lỗ hổng đang được khai thác hoặc ngừng sử dụng các sản phẩm dễ bị tấn công.

Sáu lỗ hổng mới được thêm vào danh mục KEV bao gồm:

- CVE-2023-27524 (điểm CVSS: 8,9): Lỗ hổng tồn tại khi khóa bí mật SECRET_KEY cấu hình mặc định không bị thay đổi, cho phép kẻ tấn công xác thực và truy cập các tài nguyên trái phép, ảnh hưởng đến các phiên bản Apache Superset lên đến 2.0.1.

- CVE-2023-23752 (điểm CVSS: 5,3): Lỗ hổng xảy ra khi kiểm tra quyền truy cập không đúng cách trên Joomla từ phiên bản 4.0.0 đến 4.2.7, cho phép tin tặc truy cập trái phép vào điểm cuối dịch vụ web.

- CVE-2023-41990 (điểm CVSS: 7,8): Đây là lỗ hổng thực thi mã từ xa trong quá trình xử lý tệp phông chữ được gửi dưới dạng tệp đính kèm iMessage, dẫn đến việc thực thi mã tùy ý trên các thiết bị Apple iPhone chạy iOS 16.2 trở lên.

- CVE-2023-38203 (điểm CVSS: 9,8): Lỗ hổng này xảy ra trong các phiên bản Adobe ColdFusion 2018u17, 2021u7 và 2023u1 trở về trước, dẫn đến việc thực thi mã tùy ý.

- CVE-2023-29300 (điểm CVSS: 9,8): Lỗ hổng này cũng dẫn đến việc thực thi mã tùy ý, ảnh hưởng đến các phiên bản Adobe ColdFusion 2018u16, 2021u6 và 2023.0.0.330468 trở về trước.

- CVE-2016-20017 (điểm CVSS: 9,8): Lỗ hổng chèn lệnh không được xác thực từ xa trong các thiết bị D-Link DSL-2750B trước phiên bản 1.05, bị khai thác tích cực từ năm 2016 đến năm 2022.

Một số lỗ hổng được liệt kê trên đã bị lợi dụng trong các cuộc tấn công mới được tiết lộ gần đây. Điển hình là lỗ hổng CVE-2023-41990 được sử dụng trong chiến dịch Operation Triangulation từ năm 2019 và chỉ được hãng bảo mật Kaspersky phát hiện vào tháng 6/2023 khi một số thiết bị của hãng bị lây nhiễm.

Trong khi đó, hai lỗ hổng CVE-2023-38203 và CVE-2023-29300 đã bị tin tặc khai thác từ giữa năm 2023 sau khi các nhà nghiên cứu bảo mật chứng minh rằng các bản vá của nhà cung cấp có thể bị vượt qua. Đối với những lỗ hổng khác, chẳng hạn như CVE-2023-27524, các mã khai thác bằng chứng khái niệm (PoC) đã được phát hành vào tháng 9/2023, tạo cơ sở cho các tác nhân độc hại khai thác rộng rãi.

Để giảm thiểu các nguy cơ tiềm ẩn, CISA khuyến nghị các tổ chức kiểm tra các sản phẩm để tìm những lỗ hổng trên và các lỗ hổng khác được liệt kê trong danh mục KEV, đồng thời áp dụng các bản cập nhật bảo mật có sẵn hoặc các bước giảm thiểu rủi ro theo yêu cầu.

Bá Phúc

(Theo bleepingcomputer.com)

‹ › ×

Tin liên quan

Cảnh báo của CISA: Phần mềm ransomware Akira khai thác lỗ hổng Cisco ASA/FTD

09:00 | 04/03/2024

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) ngày 15/2 vừa qua đã bổ sung một lỗ hổng bảo mật hiện ảnh hưởng đến phần mềm thiết bị bảo mật thích ứng Cisco (Cisco Adaptive Security Appliance - ASA) và phần mềm phòng chống mối đe dọa hỏa lực (Firepower Threat Defense - FTD) vào danh mục Các lỗ hổng bị khai thác đã biết (KEV). Lỗ hổng này cũng có khả năng bị khai thác trong các cuộc tấn công ransomware của Akira.

Lỗ hổng Bluetooth mới có thể cho phép tin tặc chiếm quyền điều khiển trên các thiết bị Android, Apple và Linux

14:00 | 19/12/2023

Một lỗi bảo mật Bluetooth nghiêm trọng được cho là đã tồn tại trong vài năm gần đây có thể bị tin tặc khai thác để chiếm quyền kiểm soát trên các thiết bị Android, Linux, macOS và iOS.

CISA cung cấp dịch vụ an ninh mạng cho các tổ chức trọng yếu không thuộc Chính quyền

09:00 | 21/12/2023

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã công bố một chương trình thí điểm mới nhằm cung cấp các dịch vụ an ninh mạng miễn phí cho các thực thể cơ sở hạ tầng trọng yếu không thuộc chính quyền. Cơ quan này khuyến khích các tổ chức quan tâm liên hệ với cố vấn bảo mật tại văn phòng CISA trong khu vực của họ.

CISA phát hành phiên bản mới của hệ thống phân tích mã độc Malware Next-Gen

13:00 | 17/04/2024

Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành phiên bản mới của hệ thống Malware Next-Gen có khả năng tự động phân tích các tệp độc hại tiềm ẩn, địa chỉ URL đáng ngờ và truy tìm mối đe dọa an ninh mạng. Phiên bản mới này cho phép người dùng gửi các mẫu phần mềm độc hại để CISA phân tích.

Cơ quan an ninh mạng Hoa Kỳ cảnh báo lỗi Microsoft Streaming bị khai thác trong các cuộc tấn công mạng

13:00 | 19/03/2024

Cơ quan an ninh mạng Hoa Kỳ (CISA) đã yêu cầu các cơ quan của Chi nhánh điều hành dân sự liên bang Hoa Kỳ (FCEB) bảo mật hệ thống Windows của họ trước một lỗ hổng nghiêm trọng trong Dịch vụ phát trực tuyến của Microsoft (MSKSSRV.SYS).

Cisco cảnh báo lỗ hổng RCE nghiêm trọng

09:00 | 01/02/2024

Mới đây, Cisco đưa ra cảnh báo rằng một số sản phẩm Contact Center Solutions và Unified Communications Manager của hãng dễ gặp phải lỗ hổng thực thi mã từ xa ở mức độ nghiêm trọng.

Chiến lược bảo mật và khả năng phục hồi mạng 5G của CISA

13:00 | 09/10/2023

Mạng 5G sẽ biến đổi bối cảnh kỹ thuật số và đóng vai trò là chất xúc tác cho sự đổi mới, thị trường mới và tăng trưởng kinh tế. Khi hàng chục tỷ thiết bị được kết nối với Internet thông qua 5G, những kết nối này sẽ hỗ trợ một loạt các dịch vụ cơ sở hạ tầng quan trọng mới và nâng cao. Để chống lại các rủi ro về an ninh, CISA đã đưa ra một kế hoạch sáng kiến chiến lược để các cơ quan liên bang tuân theo.

Tin cùng chuyên mục

Hơn 91.000 Tivi LG có nguy cơ bị tấn công từ xa do lỗ hổng WebOS

13:00 | 17/04/2024

Các chuyên gia của công ty bảo mật Bitdefender Labs (Hoa Kỳ) tiết lộ các lỗ hổng bảo mật nghiêm trọng của hơn 91.000 Tivi (TV) thông minh LG chạy nền tảng WebOS độc quyền của công ty. Nếu bị khai thác, lỗ hổng này có thể cho phép kẻ tấn công truy cập trái phép vào các chức năng của TV và có thể cả mạng gia đình của người dùng.

Meta bị cáo buộc thu thập dữ liệu trẻ em và gây nghiện

08:00 | 29/11/2023

Theo tờ The New York Times, 33 tiểu bang của Mỹ đã đệ đơn kiện chống lại Meta, cáo buộc công ty này thu thập dữ liệu cá nhân của trẻ em và vi phạm chính sách độ tuổi sử dụng.

Thi đấu an ninh mạng Fortinet Security Fabric Range Challenge

16:00 | 16/11/2023

Ngày 16/11/2023, tại Hà Nội, Fortinet đã tổ chức cuộc thi đấu an ninh mạng mang tên “Fortinet Security Fabric Range Challenge” nhằm nâng cao năng lực phòng thủ cho các nhà quản lý công nghệ thông tin và an ninh bảo mật mạng, giúp các chuyên gia bảo mật an ninh mạng của Việt Nam có cơ hội giao lưu, trải nghiệm nhiều tình huống tấn công mạng mô phỏng thú vị và hấp dẫn.

Kaspersky và TSplus ký thỏa thuận hợp tác tạo giải pháp miễn dịch không gian mạng

09:00 | 25/10/2023

Công ty an ninh mạng toàn cầu Kaspersky và Nhà cung cấp giải pháp truy cập từ xa TSplus vừa ký kết biên bản ghi nhớ (MoU) cung cấp các giải pháp truy cập máy tính ảo miễn dịch không gian mạng (Cyber Immune Virtual Destop).