CISA đã gia hạn đến ngày 23/01/2024 cho các cơ quan liên bang áp dụng các biện pháp để giảm thiểu tác động của hai CVE-2023-7024 và CVE-2023-7101.
Lỗ hổng đầu tiên được CISA thêm vào KEV là CVE-2023-7101, một lỗ hổng thực thi mã từ xa ảnh hưởng đến các phiên bản dưới 0.65 của thư viện Spreadsheet::ParseExcel. Các nhà nghiên cứu cho biết lỗ hổng này xảy ra do việc truyền dữ liệu không được xác thực từ một tệp vào một string-type “eval”, bắt nguồn từ việc đánh giá các chuỗi định dạng số trong logic phân tích cú pháp Excel.
Một sản phẩm sử dụng thư viện nguồn mở này là Barracuda ESG (Email Security Gateway), đã bị tin tặc khai thác lỗ hổng CVE-2023-7101 trong bảng tính ParseExcel để xâm phạm các thiết bị vào cuối tháng 12/2023. Barracuda nhận định rằng các tác nhân đe dọa đã lợi dụng lỗ hổng này để triển khai phần mềm độc hại SeaSpy và Saltwater. Công ty bảo mật này đã áp dụng các biện pháp giảm thiểu cho ESG vào ngày 20/12/2023 và bản cập nhật bảo mật giải quyết lỗ hổng CVE-2023-7101 đã được phát hành vào ngày 29/12/2023 với phiên bản Spreadsheet::ParseExcel 0,66.
Lỗ hổng mới nhất được thêm vào KEV là CVE-2023-7024, đây là sự cố tràn bộ đệm heap trong WebRTC trong trình duyệt web . Theo mô tả lỗ hổng của CISA, Google Chrome WebRTC là một dự án nguồn mở cung cấp cho các trình duyệt web khả năng giao tiếp theo thời gian thực, có chứa lỗ hổng tràn bộ đệm heap cho phép kẻ tấn công gây ra sự cố hoạt động hoặc thực thi mã. Lỗ hổng có thể ảnh hưởng đến các trình duyệt web sử dụng WebRTC, bao gồm cả Google Chrome.
Lỗ hổng này được Nhóm phân tích mối đe dọa (TAG) của Google phát hiện và được vá thông qua bản cập nhật khẩn cấp vào ngày 20/12/2023, trong phiên bản 120.0.6099.129/130 cho Windows và 120.0.6099.129 cho Mac và Linux. Đây là thứ tám mà Google đã vá trong Chrome vào năm 2023, nhấn mạnh việc tin tặc chú ý và dành thời gian cho việc tìm kiếm và khai thác các lỗ hổng trong trình duyệt web được sử dụng rộng rãi.
Để giảm thiểu các nguy cơ tiềm ẩn, các chuyên gia bảo mật khuyến cáo người dùng nên nhanh chóng cập nhật bản vá cho các sản phẩm đang sử dụng càng sớm càng tốt ngay sau khi chúng có sẵn.
Bá Phúc
(Theo Bleepingcomputer)
09:00 | 24/11/2023
09:00 | 04/03/2024
14:00 | 19/12/2023
13:00 | 19/03/2024
16:00 | 18/12/2023
14:00 | 28/05/2024
13:00 | 23/10/2024
Trong tháng 9, hệ thống phát hiện cảnh báo sớm botnet ghi nhận 18 hệ thống cơ quan nhà nước đã kết nối đến hạ tầng botnet (mạng máy tính ma), đặt ra các nguy cơ mất an toàn thông tin. Cục An toàn thông tin, Bộ TT&TT đã vào cuộc hỗ trợ xử lý.
10:00 | 08/10/2024
Công ty cung cấp giải pháp an ninh mạng OPSWAT (Mỹ) mới đây đã công bố Báo cáo về các mối đe dọa bảo mật email đối với các tổ chức cơ sở hạ tầng quan trọng.
13:00 | 13/09/2024
Wix.com, nền tảng xây dựng trang web nổi tiếng, đã chặn hoàn toàn người dùng tại Nga từ ngày 12/9/2024. Tất cả tài khoản, bao gồm cả tài khoản miễn phí và trả phí, sẽ bị xóa, khiến các trang web liên quan không thể truy cập được.
14:00 | 09/09/2024
Sáng ngày 07/9, tại Hà Nội, Hội thảo UEC Đông Nam Á lần thứ 11 đã diễn ra, với sự tham gia của các nhà khoa học và chuyên gia hàng đầu trong lĩnh vực an toàn thông tin, mật mã và công nghệ viễn thông. Đây là sự kiện thường niên do Trường UEC Nhật Bản tổ chức, nhằm thúc đẩy hợp tác quốc tế trong nghiên cứu khoa học, phát triển công nghệ và trao đổi giáo dục giữa các trường đại học khu vực Đông Nam Á với Nhật Bản.
14:00 | 11/09/2024|Công nghệ PKI
11:00 | 03/09/2024|GP ATM
08:00 | 26/08/2024|GP ATM
10:00 | 19/08/2024|Tin tức sản phẩm
Suốt chặng đường 79 năm xây dựng, chiến đấu và trưởng thành (12/9/1945 - 12/9/2024), ngành Cơ yếu Việt Nam luôn xứng đáng là lực lượng đặc biệt tin cậy, cùng toàn Đảng, toàn quân và toàn dân lập nên những chiến công hiển hách trong sự nghiệp đấu tranh giải phóng dân tộc, giành độc lập, tự do, thống nhất đất nước, xây dựng và bảo vệ Tổ quốc.
11:00 | 24/10/2024
Mới đây, Eric Council Jr., 25 tuổi đã bị bắt giữ tại Mỹ do bị cáo buộc tấn công tài khoản mạng xã hội X của Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) nhằm thao túng giá Bitcoin hồi đầu năm nay. Vụ việc này một lần nữa gióng lên hồi chuông cảnh báo về an ninh mạng và những rủi ro tiềm ẩn từ các cuộc tấn công mạng có chủ đích.
14:00 | 28/10/2024
Ngày 21/10, IBM đã cho ra mắt phiên bản mới nhất của các mô hình trí tuệ nhân tạo dành cho doanh nghiệp, với mục đích tận dụng sự gia tăng nhu cầu sử dụng trong các doanh nghiệp áp dụng công nghệ AI tạo sinh.
10:00 | 27/10/2024
