Η CISA έχει προσθέσει στον κατάλογό της τρία ζητήματα ασφαλείας .Αυτά επηρεάζουν συσκευές Microsoft, ένα προϊόν Sophos και μια εταιρική λύση από την Oracle.
Η υπηρεσία παροτρύνει τις ομοσπονδιακές υπηρεσίες να εφαρμόσουν τις διαθέσιμες ενημερώσεις ασφαλείας για τα τρία ζητήματα πριν από τις 7 Δεκεμβρίου. Τα τρία τρωτά σημεία παρακολουθούνται ως εξής:
- CVE-2023-36584 – Παράκαμψη της δυνατότητας ασφαλείας “Mark of the Web” (MotW) στα Microsoft Windows.
- CVE-2023-1671 – Ευπάθεια ένεσης εντολών στο Sophos Web Appliance που επιτρέπει την απομακρυσμένη εκτέλεση κώδικα (RCE).
- CVE-2020-2551 – Απροσδιόριστη ευπάθεια στο Oracle Fusion Middleware, που επιτρέπει σε έναν εισβολέα χωρίς έλεγχο ταυτότητας με πρόσβαση στο δίκτυο μέσω IIOP να υπονομεύσει τον διακομιστή WebLogic.
Η Microsoft απευθύνθηκε στη διεύθυνση CVE-2023-36584 στο Patch Tuesday Οκτώβριος 2023 .
Το κρίσιμο ελάττωμα στο Sophos Web Appliance, που διορθώθηκε στις 4 Απριλίου 2023, προσδιορίζεται ως CVE-2023-1671 και έχει βαθμολογία σοβαρότητας 9,8. Μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα (RCE) και επηρεάζει τις εκδόσεις του λογισμικού πριν από την 4.3.10.4.
O κατάλογος KEV της CISA απευθύνεται κυρίως σε ομοσπονδιακούς οργανισμούς στις ΗΠΑ .Ωστόσο, οι εταιρείες σε όλο τον κόσμο συνιστώνται να τον χρησιμοποιούν ως σύστημα προειδοποίησης για εκμεταλλευόμενα τρωτά σημεία. Με βάση αυτά τα στοιχεία θα λαμβάνουν τα απαραίτητα μέτρα για να ενημερώσουν τα συστήματά τους ή να εφαρμόσουν μετριασμούς που συνιστώνται από τον προμηθευτή.
