Agência de segurança cibernética dos EUA adiciona 6 falhas ao catálogo de vulnerabilidades exploradas conhecidas

A Agência de Segurança Cibernética e Infraestrutura dos EUA adicionou um lote de seis falhas ao seu catálogo de Vulnerabilidades Exploradas Conhecidas ( KEV ), citando evidências de exploração ativa.

Isso inclui três vulnerabilidades corrigidas pela Apple esta semana ( CVE-2023-32434, CVE-2023-32435 e CVE-2023-32439 ), duas falhas no VMware ( CVE-2023-20867 e CVE-2023-20887 ) e uma falha nos dispositivos Zyxel ( CVE-2023-27992 ).

Diz-se que CVE-2023-32434 e CVE-2023-32435, que permitem a execução de código, foram explorados como dias zero para implantar spyware como parte de uma campanha de espionagem cibernética de anos que começou em 2019.

Apelidada de Operation Triangulation, a atividade culmina na implantação do TriangleDB , projetado para coletar uma ampla gama de informações de dispositivos comprometidos, como criar, modificar, remover e roubar arquivos, listar e encerrar processos, coletar credenciais do iCloud Keychain e rastrear a localização de um usuário.

A cadeia de ataque começa com a vítima alvo recebendo um iMessage com um anexo que aciona automaticamente a execução da carga útil sem exigir nenhuma interação, tornando-a uma exploração de clique zero.

“A mensagem maliciosa é malformada e não aciona nenhum alerta ou notificação para [o] usuário”, observou a Kaspersky em seu relatório inicial.

CVE-2023-32434 e CVE-2023-32435 são duas das muitas vulnerabilidades no iOS que foram abusadas no ataque de espionagem. Um deles é o CVE-2022-46690 , um problema de gravação fora dos limites de alta gravidade no IOMobileFrameBuffer que pode ser armado por um aplicativo não autorizado para executar código arbitrário com privilégios de kernel.

A fraqueza foi corrigida pela Apple com validação de entrada aprimorada em dezembro de 2022.

A Kaspersky sinalizou o TriangleDB como contendo recursos não utilizados que fazem referência ao macOS, bem como permissões que buscam acesso ao microfone, câmera e catálogo de endereços do dispositivo que, segundo ele, podem ser aproveitados em uma data futura.

A investigação da empresa russa de segurança cibernética sobre a Operação Triangulação começou no início do ano, quando detectou o comprometimento em sua própria rede corporativa.

À luz da exploração ativa, recomenda-se que as agências do Poder Executivo Federal Civil (FCEB) apliquem patches fornecidos pelo fornecedor para proteger suas redes contra possíveis ameaças.

O desenvolvimento ocorre quando a CISA emitiu um aviso de alerta de três bugs no pacote de software Berkeley Internet Name Domain ( BIND ) 9 Domain Name System (DNS) que poderia abrir caminho para uma condição de negação de serviço (DoS).

As falhas – CVE-2023-2828 , CVE-2023-2829 e CVE-2023-2911 (pontuações CVSS: 7,5) – podem ser exploradas remotamente, resultando no encerramento inesperado do serviço BIND9 nomeado ou no esgotamento de toda a memória disponível no o host em execução nomeado, levando a DoS.

Esta é a segunda vez em menos de seis meses que o Internet Systems Consortium (ISC) lança patches para resolver problemas semelhantes no BIND9 que podem causar DoS e falhas do sistema.

Fonte: https://thehackernews.com/2023/06/us-cybersecurity-agency-adds-6-flaws-to.html