La Cybersecurity and Infrastructure Security Agency (CISA) a ordonné jeudi aux agences civiles fédérales de corriger un bug critique du pare-feu Sophos et sept autres vulnérabilités dans les trois prochaines semaines, toutes exploitées dans des attaques en cours.
Comme Sophos l’a révélé il y a près d’une semaine, le CVE-2022-1040 bug permet aux attaquants de contourner l’authentification via le portail utilisateur ou l’interface Webadmin et d’exécuter du code arbitraire à distance.
Deux jours plus tard, le fournisseur de cybersécurité a modifié son avis de sécurité, affirmant qu’il avait alerté un petit groupe d’organisations sud-asiatiques ciblées par les exploits CVE-2022-1040.
La CISA a également ordonné aux agences fédérales de corriger une vulnérabilité de téléchargement de fichiers arbitraires de haute gravité (CVE-2022-26871) dans la console de gestion des produits Trend Micro Apex Central qui peut être exploitée dans des attaques d’exécution de code à distance.
Mardi, Trend Micro mentionné il a observé « au moins une tentative active d’exploitation potentielle » de cette vulnérabilité dans la nature.
CISA a ajouté six autres vulnérabilités à son Catalogue des vulnérabilités exploitées connues aujourd’hui, tous sont également exploités dans des attaques en cours.
CVE | Nom de la vulnérabilité | Date d’échéance |
CVE-2022-26871 | Vulnérabilité de téléchargement arbitraire de fichiers dans Trend Micro Apex Central | 2022-04-21 |
CVE-2022-1040 | Vulnérabilité de contournement de l’authentification du pare-feu Sophos | 2022-04-21 |
CVE-2021-34484 | Escalade des privilèges du service de profil utilisateur Microsoft Windows | 2022-04-21 |
CVE-2021-28799 | Vulnérabilité d’autorisation incorrecte du NAS QNAP | 2022-04-21 |
CVE-2021-21551 | Vulnérabilité de contrôle d’accès insuffisant du pilote Dell dbutil | 2022-04-21 |
CVE-2018-10562 | Vulnérabilité d’injection de commande des routeurs Dasan GPON | 2022-04-21 |
CVE-2018-10561 | Vulnérabilité de contournement de l’authentification des routeurs Dasan GPON | 2022-04-21 |
CVE-2014-6324 | Élévation des privilèges Microsoft Windows Kerberos KDC | 2022-04-21 |
Selon une directive opérationnelle contraignante de novembre 2021 (BOD 22-01), les agences fédérales civiles du pouvoir exécutif (FCEB) doivent sécuriser leurs systèmes contre ces failles de sécurité, la CISA leur donnant jusqu’au 21 avril pour corriger celles ajoutées aujourd’hui.
« Ces types de vulnérabilités sont un vecteur d’attaque fréquent pour les cyber-acteurs malveillants de tous types et présentent un risque important pour l’entreprise fédérale », a déclaré l’agence américaine de cybersécurité. explique.
Bien que la directive BOD 22-01 ne s’applique qu’aux agences FCEB, la CISA a également exhorté les organisations des secteurs privé et public à corriger en priorité ces bugs de sécurité activement abusés afin de réduire l’exposition de leurs réseaux aux cyberattaques en cours.
La CISA a ajouté des centaines de vulnérabilités à sa liste de bugs activement exploités après avoir publié cette directive contraignante, demandant aux agences fédérales américaines de les corriger dès que possible pour éviter les failles de sécurité.
Depuis le début de l’année, l’agence de cybersécurité a également ordonné aux agences de corriger les jours zéro activement exploités dans :