Gen 10, 2024 News, RSS, Vulnerabilità

CISA, l’agenzia di cyber difesa statunitense, ha aggiunto sei nuovi bug al suo catalogo di vulnerabilità sfruttate attivamente dagli attaccanti.

Due di queste, la CVE-2023-38203 e la CVE-2023-29300, sono bug critici che colpiscono Adobe ColdFusion 2023, 2021 e 2018 per tutte le piattaforme. In entrambi i casi si tratta di vulnerabilità legate a una deserializzazione non sicura di dati provenienti da fonti sconosciute e inaffidabili. I bug consentono a un attaccante di eseguire codice arbitrario senza l’interazione utente.

L’Agenzia ha inoltre segnalato la CVE-2023-27254, una vulnerabilità critica presente in Apache Superset nelle versioni 2.0.1. e inferiori. Il bug consente a un attaccante di autenticarsi e accedere a risorse senza autorizzazione. La vulnerabilità colpisce tutte le installazioni del prodotto in cui non è stata modificato il valore di default della proprietà SECRET_KEY.

Tre le vulnerabilità sfruttate attivamente dagli attaccanti c’è anche la CVE-2023-41990, un bug a rischio elevato che colpisce diverse versioni dei sistemi operativi Apple tra i quali iOS 16.3, iPadOS 16,3, macOS Monterey 12.6.8, macOS Big Sur 11.7.9 e warchOS 9.3. La vulnerabilità risiede in un problema di elaborazione di font dannoso che può causare l’esecuzione di codice arbitrario. Apple ha rilasciato aggiornamenti per tutti i sistemi colpiti.

Alla lista si aggiungono anche la CVE-2023-23752, una vulnerabilità che colpisce Joomla! dalla versione 4.0.0 alla 4.2.7 e che consente l’accesso non autorizzato a diversi endpoint, e la CVE-2016-200017, una vecchia vulnerabilità critica presente nei dispositivi D-Link DSL-2750B precedenti alla versione 1.05 che consente a un utente non autenticato di eseguire una attacco di command injection. 

Il catalogo di CISA è una lista di vulnerabilità note e già sfruttate che sono considerate un pericolo significativo per le organizzazioni del Paese; per questo l’Agenzia ha rinnovato il suo invito agli utenti di applicare le patch di sicurezza fornite dai vendor il prima possibile.

• Adobe, Apache Sunset, Apple, CISA, D-Link, Joomla, vulnerabilità