A Agência de Segurança Cibernética e Infraestrutura (CISA) dos EUA adicionou na semana passada mais 95 falhas de segurança ao seu catálogo de vulnerabilidades exploradas conhecidas, elevando o número total de vulnerabilidades exploradas ativamente para 478.
Dos 95 bugs recém-adicionados, 38 estão relacionados a vulnerabilidades da Cisco, 27 para Microsoft, 16 para Adobe, sete impactam a Oracle e um corresponde ao Apache Tomcat, ChakraCore, Exim, Mozilla Firefox, Linux Kernel, Siemens Simatic CP e Treck TCP pilha/IP.
“Esses tipos de vulnerabilidades são vetores de ataques frequentes para cibercriminosos e representam um risco significativo para órgãos federais”, disse a agência em um comunicado publicado na quinta-feira, 3.
Incluídos na lista estão cinco problemas descobertos nos roteadores Cisco RV, que a CISA afirma que estão sendo explorados em ataque. As falhas, que vieram à tona no início do mês passado, permitem a execução de código arbitrário com privilégios de root, ou seja, que se torne um superadministrador e tenha acesso a áreas sensíveis do sistema.
Três das vulnerabilidades — CVE-2022-20699, CVE-2022-20700 e CVE-2022-20708 — são classificadas com pontuação 10 em 10 na escala do sistema de pontuação comum de vulnerabilidades (CVSS), permitindo que um invasor injete comandos maliciosos, eleve privilégios para root e execute código arbitrário em sistemas vulneráveis.
Veja isso
Bugs afetam quatro modelos de roteadores da Cisco para PMEs
Cisco corrige vulnerabilidade crítica no RCM para StarOS
A CVE-2022-20701 (pontuação 9.0 no CVSS) e a CVE-2022-20703 (pontuação 9.3 no CVSS) não são diferentes, pois podem permitir que um invasor “execute código arbitrário para elevar privilégios, executar comandos arbitrários, ignorar autenticação e proteções de autorização, buscar e executar software não assinado ou causar uma negação de serviço [DoS]”, acrescentou a CISA.
A Cisco reconheceu e disse “estar ciente de que o código de exploração de prova de conceito está disponível para várias das vulnerabilidades”. A natureza adicional dos ataques ou o tipo de exploração que os operadores de ameaças que podem estar armando ainda são desconhecidos.
Para reduzir o risco das vulnerabilidades e impedir que sejam usadas como vetor para possíveis ataques cibernéticos, os órgãos federais dos EUA são obrigados a aplicar os patches até 17 de março.
O problema ocorre logo após a Cisco lançar patches para vulnerabilidades críticas de segurança que afetam o Expressway Series e o Cisco TelePresence Video Communication Server (VCS) nesta semana que podem ser explorados para obtenção de privilégios elevados e executar código arbitrário.
