Badan Keamanan Cybersecurity & Infrastruktur AS (CISA) telah menambah empat kerentanan pada katalog kerentanan yang diketahui dieksploitasi, mendesak lembaga federal dan organisasi besar untuk menerapkan pembaruan keamanan yang tersedia sesegera mungkin.
Di antara mereka adalah kekurangan yang memengaruhi Microsoft .NET Framework dan Apache ofBiz (Open for Business), dua aplikasi perangkat lunak yang banyak digunakan.
Meskipun agensi telah menandai kelemahan -kelemahan itu sebagai dieksploitasi secara aktif dalam serangan, itu belum memberikan rincian spesifik tentang kegiatan jahat, yang sedang melakukan, dan terhadap siapa.
Cacat pertama, dilacak di bawah CVE-2024-29059adalah bug pengungkapan informasi keparahan tinggi (CVSS V3: 7.5) dalam kerangka kerja .NET yang ditemukan oleh Code White dan diungkapkan kepada Microsoft pada November 2023.
Microsoft menutup laporan pengungkapan pada bulan Desember 2023, yang menyatakan, “Setelah penyelidikan yang cermat, kami menentukan kasus ini tidak memenuhi bilah kami untuk servis langsung.”
Namun, Microsoft akhirnya memperbaiki cacat dalam pembaruan keamanan Januari 2024 tetapi secara keliru tidak mengeluarkan CVE atau mengakui para peneliti.
Pada bulan Februari, kode putih merilis detail teknis dan bukti eksploitasi konsep untuk membocorkan uris objek internal, yang dapat digunakan untuk melakukan .NET Serangan Remoting,
Microsoft akhirnya merilis penasihat untuk cacat ini di bawah ini CVE-2024-29059 Pada bulan Maret 2024 dan mengaitkan penemuan dengan para peneliti.
Cacat apache ofbiz adalah CVE-2024-45195Severity Critical (skor CVSS V3: 9.8) Kerentanan Eksekusi Kode Jarak Jauh Dampak BBIZ Sebelum 18.12.16.
Cacat ini disebabkan oleh kelemahan penelusuran paksa yang memaparkan jalur terbatas pada serangan permintaan langsung yang tidak ditekuk.
Cacat awalnya ditemukan oleh Rapid7, yang juga menyajikan eksploitasi bukti konsep (POC), sedangkan vendor memperbaikinya pada bulan September 2024.
Pengguna disarankan untuk meningkatkan ke Apache ofBiz versi 18.12.16 atau lebih baru, yang membahas risiko tertentu.
Sekarang, CISA mendesak agensi dan organisasi yang berpotensi terkena dampak untuk menerapkan tambalan dan mitigasi yang tersedia pada 25 Februari 2025, atau berhenti menggunakan produk.
Dua kekurangan lainnya Ditambahkan ke Kev kali ini adalah CVE-2018-9276 dan CVE-2018-19410, keduanya memengaruhi perangkat lunak pemantauan jaringan Paessler PRTG. Masalah -masalah tersebut ditetapkan dalam versi 18.2.41.1652, dirilis pada Juni 2018.
Kelemahan pertama adalah masalah injeksi perintah OS, dan yang kedua adalah kerentanan inklusi file lokal. Batas waktu tambalan bagi mereka, juga ditetapkan ke 25 Februari 2025.
Sayangnya, tidak ada informasi tentang bagaimana salah satu dari kekurangan ini dieksploitasi dalam serangan.
