ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), federal sivil kurumlara, önümüzdeki üç hafta içinde bir Google Chome sıfır gün ve kritik bir Redis güvenlik açığından aktif olarak yararlanılması için yama yapmalarını emretti.
göre Google tavsiyesi Cuma günü yayınlandıChrome sıfır gün güvenlik açığı (CVE-2022-1096 olarak izlenir), Chrome V8 JavaScript motorunda tehdit aktörlerinin hedeflenen cihazlarda rastgele kod yürütmesine izin verebilecek yüksek önem derecesine sahip bir tür karışıklık zayıflığıdır.
Muhstik kötü amaçlı yazılım çetesi, bir kavram kanıtı (PoC) açığının genel olarak yayınlanmasının ardından Redis Lua korumalı alan kaçış güvenlik açığı (CVE-2022-0543 olarak izlenir) için özel bir yayıcı istismarı ekledi 10 Mart’ta.
göre bağlayıcı operasyonel yönerge (BOD 22-01) Kasım ayında yayınlanan Federal Sivil İdari Şube Ajansları (FCEB) ajansları, sistemlerini bu güvenlik açıklarına karşı güvenceye almalı ve CISA, yama için 18 Nisan’a kadar süre tanımalıdır.
ABD siber güvenlik ajansı, “Bu tür güvenlik açıkları, her türden kötü niyetli siber aktörler için sık görülen bir saldırı vektörüdür ve federal kuruluş için önemli risk oluşturur.” açıkladı.
CISA, güvenlik açığına 30 güvenlik açığı daha ekledi Bilinen Sömürülen Güvenlik Açıkları Kataloğu bugün, vahşi doğada da sömürüldüklerine dair kanıtlara dayanmaktadır.
BOD 22-01 yalnızca FCEB kurumları için geçerli olsa da, CISA ayrıca özel ve kamu sektörü kuruluşlarını, devam eden siber saldırılara maruz kalmayı azaltmak için bu kusurların azaltılmasına öncelik vermeye teşvik ediyor.
Aktif sömürü altında yüzlerce güvenlik açığı
CISA, bu yıl aktif olarak istismar edilen hatalar kataloğuna yüzlerce güvenlik açığı ekledi ve güvenlik ihlallerini önlemek için federal kurumlara mümkün olan en kısa sürede yama yapmalarını emretti.
Geçen Cuma, ajans saldırılarda yararlanılan 66 diğer hata eklendiSYSTEM olarak kod yürütülmesine izin veren bir Windows Yazdırma Biriktiricisi hatası (CVE-2022-21999) dahil.
CISA ayrıca bir Mitel TP-240 VoIP arabirim hatası ekledi (CVE-2022-26143) rekor kıran DDoS saldırı amplifikasyonu için kullanıldı kabaca 4,3 milyara 1 oranlarıyla.
2022’nin başlangıcından bu yana, siber güvenlik kurumu federal sivil kurumlara aşağıdaki alanlarda aktif olarak yararlanılan güvenlik açıklarını düzeltmelerini emretti: