Mange, nye og gamle sårbarheder føjet til KEV-listen

Af Eskil Sørensen, 28/03/22

CISA tilføjer 66 sårbarheder til listen over fejl, der udnyttes i angreb.

CISA har tilføjet en ny stor bunke aktivt udnyttede sårbarheder til sit katalog over 'kendte udnyttede sårbarheder', det såkaldte KEV-katalog. I denne omgang er der tale om 66 styk, som følger i halen af de 15, der blev tilføjet i sidste uge.

Det skriver Bleeping Computer og Security Affairs.

Kendte udnyttede sårbarheder er en liste med fejl, som CISA i kraft af et tidligere udstedt direktiv rettet mod amerikanske føderale enheder har bemyndigelse til at kræve bliver håndteret inden for en given dato. I dette tilfælde skal alle 66 sårbarheder rettes inden den 15. april – dette for at reducere risikoen for at blive ofre for cyberangreb.

Mange sårbarheder på listen

Bleeping Computer skriver, at de 66 nye sårbarheder på listen spænder over offentliggørelsesdatoer mellem 2005 og 2022 og dækker et bredt spektrum af software- og hardwaretyper og -versioner. Dvs. nogle af dem har mange år på bagen, hvilket illustrerer det faktum, at selv om sårbarheder er gamle, så er de stadig udnyttelige, ligesom mange af dem kan være gået i glemmebogen hos systemadministratorer.

Af de nye sårbarheder fremhæver Bleeping Computer en Windows Print Spooler-fejl (CVE-2022-21999), der blev rettet i ifm. Patch Tuesday-opdateringerne i februar 2022. På daværende tidspunkt havde trusselsaktører ikke aktivt udnyttet den, men bliver den udnyttet, har angribere mulighed for at kunne afvikle kodekørsel som SYSTEM.

En anden fremhævet sårbarhed er Mitel med id’et CVE-2022-26143. Denne fejl påvirker enheder, der bruger en sårbar driver (TP-240), inklusive MiVoice Business Express og MiCollab. Denne fejl blev allerede rapporteret udnyttet ’in the wild’ i begyndelsen af februar sidste år.

Derudover indeholder bunken en remote code execution-fejl på Hewlett Packard OpenView fra 2005, et bufferoverløb på Adobe Reader og Acrobat fra 2009, en remote code execution-fejl på phpMyAdmin 2009 og yderligere 23 fejl, der dateres mellem 2010 og 2016.