La Cybersecurity and Infrastructure Security Agency (CISA) a ajouté neuf failles de sécurité supplémentaires à sa liste de bugs activement exploités, notamment une faille d’escalade de privilèges VMware et un zero-day de Google Chrome qui pourrait être utilisé pour l’exécution de code à distance.
La vulnérabilité VMware (CVE-2022-22960) a été corrigée le 6 avril et permet aux attaquants d’augmenter les privilèges pour rooter les serveurs vulnérables en raison d’autorisations incorrectes dans les scripts de support.
Un jour zéro Chrome a également été inclus dans le CISA Vulnérabilités exploitées connues (KEV), un bug suivi comme CVE-2022-1364 et permettant l’exécution de code à distance en raison d’une faiblesse de confusion de type V8.
Toutes les agences fédérales du pouvoir exécutif civil (FCEB) doivent corriger leurs systèmes contre ces bugs de sécurité après avoir été ajoutées à la liste KEV de la CISA conformément à une directive opérationnelle contraignante de novembre (BOD 22-01).
Ils ont eu trois semaines pour atténuer les failles jusqu’au 6 mai afin de s’assurer que les tentatives d’exploitation en cours seraient bloquées.
CISA ajouté sept autres vulnérabilités de sécurité à son catalogue aujourd’hui, tous abusés dans les attaques en cours.
| CVE | Nom de la vulnérabilité | Date d’échéance |
| CVE-2022-22960 | Vulnérabilité d’escalade des privilèges de plusieurs produits VMware | 2022-05-06 |
| CVE-2022-1364 | Vulnérabilité de confusion de type Google Chromium V8 | 2022-05-06 |
| CVE-2019-3929 | Vulnérabilité d’injection de commande de plusieurs produits Crestron | 2022-05-06 |
| CVE-2019-16057 | D-Link DNS-320 Vulnérabilité d’exécution de code à distance | 2022-05-06 |
| CVE-2018-7841 | Injection SQL de Schneider Electric U.motion Builder | 2022-05-06 |
| CVE-2016-4523 | Déni de service trièdre VTScada (anciennement VTS) | 2022-05-06 |
| CVE-2014-0780 | InduSoft Web Studio NTWebServer Directory Traversal | 2022-05-06 |
| CVE-2010-5330 | Vulnérabilité d’injection de commande Ubiquiti AirOS | 2022-05-06 |
| CVE-2007-3010 | Exécution de code à distance Alcatel OmniPCX Enterprise | 2022-05-06 |
Jeudi, CISA a également ajouté le bug critique d’exécution de code à distance VMware (CVE-2022-22954), désormais utilisé dans les attaques pour déployer des charges utiles de cryptomineur.
Toutes les organisations américaines sont invitées à donner la priorité à ces mises à jour de sécurité
Même si la directive BOD 22-01 ne s’applique qu’aux agences US FCEB, la CISA demande instamment toutes les organisations américaines des secteurs privé et public à accorder une plus grande priorité à la correction de ces bugs activement exploités.
Prendre ce conseil à cœur devrait réduire considérablement la surface d’attaque que les acteurs de la menace peuvent utiliser pour tenter de violer leurs réseaux.
« Ces types de vulnérabilités sont un vecteur d’attaque fréquent pour les cyber-acteurs malveillants de tous types et présentent un risque important pour l’entreprise fédérale », a déclaré l’agence américaine de cybersécurité. explique.
Depuis la publication de la directive contraignante BOD 22-01, la CISA a ajouté des centaines de failles à son catalogue de bugs activement exploités, ordonnant aux agences fédérales américaines de les corriger dès que possible pour bloquer les failles de sécurité.