I bug Ivanti e Veeam sono sotto attacco

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti mette in guardia contro un paio di falle attivamente mirate al suo catalogo di sicurezza.

L'organismo di vigilanza sulla sicurezza informatica del governo statunitense ha affermato che CVE-2023-38035 e CVE-2023-2752 vengono attivamente sfruttati.

CVE-2023-38035 descrive una vulnerabilità di bypass dell'autenticazione in MobileIron Security che nelle versioni precedenti alla 9.18.0 impedisce al software di eseguire correttamente i controlli di sicurezza. Di conseguenza, gli aggressori sono in grado di accedere alle API e di impartire comandi che normalmente dovrebbero essere limitati agli account amministratore.

"Quando i controlli di accesso vengono applicati in modo errato, gli utenti sono in grado di accedere ai dati o eseguire azioni che non dovrebbero essere autorizzati a eseguire", ha affermato Ivanti riguardo alla vulnerabilità.

"Ciò può portare a un'ampia gamma di problemi, tra cui esposizione di informazioni, negazione del servizio ed esecuzione arbitraria di codice."

Ivanti sottolinea che il rischio di attacco può essere mitigato limitando l'accesso dal portale 8433 e afferma che se la porta, comunemente utilizzata per l'accesso MICS (servizi di configurazione MobileIron) non è abilitata, non c'è rischio di attacco.

"Sebbene il problema abbia un punteggio CVSS elevato, il rischio di sfruttamento è basso per i clienti che non espongono la porta 8443 a Internet", ha affermato Ivanti.

Nel frattempo, gli amministratori che utilizzano Veeam Backup & Replication fanno meglio ad aggiornare il proprio software per mitigare una vulnerabilità di bypass della sicurezza CVE-2023-27532.

Il problema, si dice, derivi da una falla che consente a un utente malintenzionato di aggirare i controlli di autenticazione.

"[la vulnerabilità] consente di ottenere credenziali crittografate archiviate nel database di configurazione. Ciò potrebbe portare all'accesso agli host dell'infrastruttura di backup."

L'aggiornamento di Veeam alla versione 12 (build 12.0.0.1420 P20230223) o 11a (build 11.0.1.1261 P20230227) risolverà la vulnerabilità.

La CISA non ha fornito dettagli sulla natura degli attacchi ma ha affermato che le agenzie federali farebbero bene a testare e installare entrambi gli aggiornamenti il ​​prima possibile.

Sebbene la CISA non abbia autorità al di fuori delle agenzie governative statunitensi, l’amministrazione ha un peso enorme sia con il Dipartimento per la Sicurezza Nazionale che con le industrie private che collaborano con il DHS e la CISA su progetti del governo statunitense.

Di conseguenza, anche le aziende private tendono a seguire le direttive CISA come best practice.

"Sebbene il BOD 22-01 si applichi solo alle agenzie FCEB, CISA esorta vivamente tutte le organizzazioni a ridurre la propria esposizione agli attacchi informatici dando priorità alla tempestiva riparazione delle vulnerabilità del catalogo come parte della loro pratica di gestione delle vulnerabilità", afferma CISA.