CISA, ajanslara saldırılarda kullanılan Chrome, D-Link kusurlarını düzeltmelerini emretti

CISA, saldırılarda yararlanılan hatalar listesine, iki kritik D-Link güvenlik açığı ve Google Chrome ve Photo Station QNAP yazılımında iki (şimdi yama uygulanmış) sıfır gün dahil olmak üzere 12 güvenlik açığı ekledi.

Google Chrome sıfır gün (CVE-2022-3075) 2 Eylül’de yamalı şirket vahşi istismardan haberdar edildikten sonra bir acil güvenlik güncellemesi yoluyla.

Pazartesi günü, QNAP ağa bağlı depolama (NAS) cihazı üreticisi müşterilerini uyardı. yaygın olarak kullanılan Photo Station yazılımında sıfır gün hatasını düzelttiCVE-2022-27593 olarak izlenir ve yaygın DeadBolt fidye yazılımı saldırılarında aktif olarak kullanılır.

Son olarak, iki kritik D-Link güvenlik açığı (CVE-2022-28958 ve CVE-2022-26258) Mirai tabanlı Moobot botnet tarafından hedef alınıyor uzaktan kod yürütme elde etmek ve yama uygulanmamış cihazları devralmak için.

CISA’lara eklendikten sonra Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna göre, tüm Federal Sivil İdari Şube Ajansları (FCEB) ajansları artık sistemlerini vahşi doğada istismar edilen bu güvenlik hatalarına karşı yamalamak zorundadır. bağlayıcı operasyonel yönerge (BOD 22-01) Kasım ayında yayınlandı.

Federal kurumlara, istismar girişimlerinin engellenmesini sağlamak için 29 Eylül’e kadar üç hafta süre verildi.

Tüm ABD kuruluşlarına bu güvenlik güncellemelerine öncelik verilmesi çağrısında bulunuldu

DHS’nin BOD 22-01’i yalnızca ABD FCEB ajansları için geçerli olsa da, siber güvenlik ajansı da şiddetle teşvik eder Özel ve kamu sektörlerindeki ABD kuruluşları bu hataları düzeltmeye öncelik vermeli.

Bu tavsiyeyi dikkate almak ve yamaları mümkün olan en kısa sürede uygulamak, saldırganların ağlarını ihlal etme girişimlerinde kullanabilecekleri saldırı yüzeyini önemli ölçüde azaltacaktır.

ABD siber güvenlik ajansı, “Bu tür güvenlik açıkları, kötü niyetli siber aktörler için sık görülen bir saldırı vektörüdür ve federal kuruluş için önemli bir risk oluşturur.” açıkladı Perşembe.

Bu bağlayıcı direktifin Kasım ayında yayınlanmasından bu yana, CISA saldırılarda kullanılan hata kataloğuna 800’den fazla güvenlik açığı ekledi ve federal kurumların güvenlik ihlallerini engellemek için daha sıkı bir programa yama yapmasını gerektirdi.

Tüm güvenlik uzmanlarının ve yöneticilerinin, kendi ortamlarında CISA’nın KEV kataloğunu ve yama listelenmiş hataları incelemeleri şiddetle tavsiye edilir.