თავდამსხმელები Apache Struts-ის, BIND-ისა და ProFTPD-ის ძველ ხარვეზებს უმიზნებენ

სააგენტომ ამავე დროს ჩინელ აქტორებთან დაკავშირებული თავდასხმების კამპანიის შესახებ გაფრთხილება გამოაქვეყნა. დოკუმენტის თანახმად, ხუთივე ხარვეზი მგრძნობიარე ინფორმაციის მოსაპოვებლად გამოიყენეს. CISA-ს KEV-ის კატალოგში ახალ ჩანაწერებზე სხვა დამატებითი ინფორმაცია ჯერ არ გამოქვეყნებულა. უძველესი ხარვეზები 2015 წლით თარიღდება. მაგალითად, ProFTPD-ის დიდი ხნის განმავლობაში განუახლებელ ვერსიებში ინტერნეტიდან თავდამსხმელებს ნებისმიერი ფაილის წაკითხვა ან ჩაწერა „site cpfr“ და „site cpto“ ბრძანებებით შეუძლიათ. ხარვეზის კოდია CVE-2015-3306, CVSS2-ის ქულა 10.0, რისკი კი „კრიტიკულია“. პრობლემა ProFTPD 1.3.5-ის mod_copy მოდულს შეეხო. ამჟამინდელი ვერსია 1.3.9d-ია, ხოლო გამოშვების კანდიდატი 1.3.10rc4-ია.

2015 წელს DNS სერვერ BIND-ში არსებული ხარვეზი ინტერნეტიდან თავდამსხმელებს მომსახურების ხელმისაწვდომობაზე უარის მდგომარეობის გამოწვევის საშუალებას აძლევდა. მისი კოდია CVE-2015-5477, CVSS-ის ქულა 7.5, რისკი კი „მაღალია“. Apache Struts-ში 2016 წელს აღმოჩენილი ხარვეზით მავნე აქტორებს ნებისმიერი პროგრამული კოდის შეტანა და შესრულება შეუძლიათ, თუ „Dynamic Method Invocation“ ჩართულია. მისი კოდია CVE-2016-3081, CVSS-ის ქულა 8.1, რისკი კი „მაღალია“.

OnlyOffice Docs-ში ფაილის ბილიკზე უკანონო წვდომის ხარვეზი ინტერნეტიდან კოდის შეტანის საშუალებასაც იძლევა, თუ JWT ჩართულია. მისი კოდია CVE-2021-3199, CVSS-ის ქულა 9.8, რისკი კი „კრიტიკულია“. Strapi-ში თავდამსხმელებს ადმინისტრირების პანელიდან მგრძნობიარე ინფორმაციის წაკითხვა შეუძლიათ. ზოგ შემთხვევაში ეს პაროლების ჰეშებთან ერთად პაროლის აღდგენის ტოკენებსაც მოიცავს. CISA აღნიშნავს, რომ CVE-2023-22621 ხარვეზთან კომბინირებამ შეიძლება შეტანილი მავნე კოდის შესრულება გამოიწვიოს. შესაბამისი ხარვეზის კოდია CVE-2023-22894, CISA-ს მიხედვით CVSS-ის ქულა 7.2, რისკი კი „მაღალია“.

ზოგი დაზარალებული პროგრამისთვის მწარმოებლები ხარვეზების გამოსასწორებელ განახლებებს კვლავ ავრცელებენ. თუმცა ზოგ შემთხვევაში პროგრამული უზრუნველყოფის სასიცოცხლო ციკლი დასრულებულია. ორგანიზაციებმა პროგრამის გამოყენება უნდა შეწყვიტონ, თუ დაცულ ვერსიაზე გადასვლა შეუძლებელია. CISA-მ აშშ-ის ფედერალურ უწყებებს ამისთვის მხოლოდ სამი დღე მისცა. ვადა 11 ოქტომბერს უკვე ამოიწურა.

თავდამსხმელების მიერ ძველი ხარვეზების გამოყენება უჩვეულო არ არის. მიმდინარე წლის აპრილის შუა რიცხვებში ცნობილი გახდა კიბერთავდასხმების შესახებ, რომლებიც Excel-ის 17 წლის ხარვეზს იყენებდა.