CISA đã gia hạn đến ngày 23/01/2024 cho các cơ quan liên bang áp dụng các biện pháp để giảm thiểu tác động của hai lỗ hổng CVE-2023-7024 và CVE-2023-7101.
Lỗ hổng đầu tiên được CISA thêm vào KEV là CVE-2023-7101, một lỗ hổng thực thi mã từ xa ảnh hưởng đến các phiên bản dưới 0.65 của thư viện Spreadsheet::ParseExcel. Các nhà nghiên cứu cho biết lỗ hổng này xảy ra do việc truyền dữ liệu không được xác thực từ một tệp vào một string-type “eval”, bắt nguồn từ việc đánh giá các chuỗi định dạng số trong logic phân tích cú pháp Excel.
Một sản phẩm sử dụng thư viện nguồn mở này là Barracuda ESG (Email Security Gateway), đã bị tin tặc khai thác lỗ hổng CVE-2023-7101 trong bảng tính ParseExcel để xâm phạm các thiết bị vào cuối tháng 12/2023. Barracuda nhận định rằng các tác nhân đe dọa đã lợi dụng lỗ hổng này để triển khai phần mềm độc hại SeaSpy và Saltwater. Công ty bảo mật này đã áp dụng các biện pháp giảm thiểu cho ESG vào ngày 20/12/2023 và bản cập nhật bảo mật giải quyết lỗ hổng CVE-2023-7101 đã được phát hành vào ngày 29/12/2023 với phiên bản Spreadsheet::ParseExcel 0,66.
Lỗ hổng mới nhất được thêm vào KEV là CVE-2023-7024, đây là sự cố tràn bộ đệm heap trong WebRTC trong trình duyệt web Google Chrome. Theo mô tả lỗ hổng của CISA, Google Chrome WebRTC là một dự án nguồn mở cung cấp cho các trình duyệt web khả năng giao tiếp theo thời gian thực, có chứa lỗ hổng tràn bộ đệm heap cho phép kẻ tấn công gây ra sự cố hoạt động hoặc thực thi mã. Lỗ hổng có thể ảnh hưởng đến các trình duyệt web sử dụng WebRTC, bao gồm cả Google Chrome.
Lỗ hổng này được Nhóm phân tích mối đe dọa (TAG) của Google phát hiện và được vá thông qua bản cập nhật khẩn cấp vào ngày 20/12/2023, trong phiên bản 120.0.6099.129/130 cho Windows và 120.0.6099.129 cho Mac và Linux. Đây là lỗ hổng zero-day thứ tám mà Google đã vá trong Chrome vào năm 2023, nhấn mạnh việc tin tặc chú ý và dành thời gian cho việc tìm kiếm và khai thác các lỗ hổng trong trình duyệt web được sử dụng rộng rãi.
Để giảm thiểu các nguy cơ tiềm ẩn, các chuyên gia bảo mật khuyến cáo người dùng nên nhanh chóng cập nhật bản vá cho các sản phẩm đang sử dụng càng sớm càng tốt ngay sau khi chúng có sẵn.
Bá Phúc
(Theo Bleepingcomputer)
09:00 | 24/11/2023
09:00 | 04/03/2024
14:00 | 19/12/2023
13:00 | 19/03/2024
16:00 | 18/12/2023
14:00 | 28/05/2024
09:00 | 06/01/2025
Theo dự đoán, năm 2025, những thách thức an ninh mạng chưa từng có trong bối cảnh đổi mới công nghệ và mối đe dọa số sẽ ngày càng gia tăng. Yếu tố chính trị toàn cầu, tin tặc được nhà nước bảo trợ và tội phạm công nghệ cao càng làm bức tranh an ninh mạng thêm phần phức tạp. Đặc biệt, trí tuệ nhân tạo (AI) trở thành con dao hai lưỡi, vừa là lá chắn, vừa là mũi giáo trong cuộc chiến an ninh mạng. Bài viết này sẽ đưa ra 10 dự đoán hàng đầu về an ninh mạng cho năm 2025, giúp doanh nghiệp chủ động ứng phó trong cuộc đua vũ trang công nghệ này.
15:00 | 27/12/2024
Mới đây, Fortinet đã đưa ra dự báo về các mối đe dọa mạng năm 2025, đánh giá toàn diện về sự phát triển của các phương pháp tấn công truyền thống, các xu hướng mới nổi định hình tương lai của tội phạm mạng và đưa ra khuyến nghị hành động cho các tổ chức nhằm tăng cường khả năng bảo vệ và phục hồi.
10:00 | 12/12/2024
Các tin tặc đã sử dụng phần mềm độc hại GodLoader mới, khai thác khả năng của công cụ trò chơi Godot được sử dụng rộng rãi để trốn tránh phát hiện và lây nhiễm hơn 17.000 hệ thống chỉ trong vài tháng, nhằm đánh cắp dữ liệu cá nhân và tiền điện tử trên máy tính mục tiêu.
10:00 | 11/12/2024
Các chuyên gia của công ty nghiên cứu bảo mật McAfee (Mỹ) đã phát hiện 15 phần mềm độc hại giả mạo các ứng dụng cho vay tiền với lãi suất thấp trên nền tảng Android. Người dùng cần xóa ngay những ứng dụng này để tránh rủi ro mất an toàn thông tin.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Sáng ngày 10/01, tại Hà Nội, Ban Cơ yếu Chính phủ tổ chức Hội nghị Tổng kết công tác năm 2024, triển khai nhiệm vụ công tác năm 2025. Trung tướng Vũ Ngọc Thiềm, Trưởng ban Ban Cơ yếu Chính phủ dự và chủ trì Hội nghị.
15:00 | 10/01/2025
Ngày 07/01, tại Hà Nội, Cục Viễn thông và Cơ yếu Bộ Công an tổ chức Hội nghị tổng kết công tác năm 2025 và triển khai chương trình công tác viễn thông, cơ yếu năm 2025. Trung tướng Lê Văn Tuyến, Thứ trưởng Bộ Công an và Thiếu tướng Nguyễn Hữu Hùng, Phó Trưởng ban Ban Cơ yếu Chính phủ dự và chỉ đạo Hội nghị.
09:00 | 08/01/2025
Chỉ trong thời gian ngắn, Trung Quốc đã đạt được cột mốc ấn tượng với 1 tỷ thuê bao di động 5G, khẳng định tốc độ triển khai hạ tầng 5G hàng đầu thế giới.
10:00 | 31/12/2024
