Agencija za sajber sigurnost i sigurnost infrastrukture (CISA) dodala je četiri nove ranjivosti u svoj Katalog poznatih eksploatisanih ranjivosti (KEV), naglašavajući značajne sigurnosne rizike za različite uređaje koji se koriste širom svijeta.
Ove ranjivosti, koje su aktivno iskorištavane u divljini, naglašavaju potrebu da organizacije daju prioritet svojim naporima na ublažavanju kako bi zaštitile svoju infrastrukturu i podatke.
Detalji ranjivosti
CVE-2018-14933 – NUUO NVRmini uređaji OS Command Injection
Ova ranjivost utiče na NUUO NVRmini uređaje, omogućavajući udaljenim napadačima da izvršavaju komande koristeći meta znakove ljuske u uploaddir parametru tokom writeuploaddir komande.
Klasifikovan kao greška u ubrizgavanju komandi OS (CWE-78), omogućava neovlašteni daljinski pristup kritičnim operacijama. Budući da su ovi uređaji sada na kraju životnog vijeka (EoL) ili na kraju usluge (EoS), CISA preporučuje korisnicima da prestanu s njihovom upotrebom kako bi ublažili povezane sigurnosne rizike.
CVE-2022-23227 – NUUO NVRmini 2 uređaja nedostaje autentikacija
Ova mana utiče na NUUO NVRmini 2 uređaje i proizilazi iz nedostatka mehanizma za autentifikaciju (CWE-306). Eksploatacija omogućava napadačima da otpreme šifrovane TAR arhive, koje se mogu zloupotrebiti za dodavanje proizvoljnih korisnika u sistem.
Budući da je zahvaćeni proizvod EoL ili EoS, korisnicima se snažno savjetuje da ga postupno ukinu i istraže alternativna rješenja.
CVE-2019-11001 – Reolink višestruke IP kamere OS Command Injection
Ova ranjivost utiče na Reolink IP kamere, uključujući modele kao što su RLC-410W, C1 Pro, C2 Pro, RLC-422W i RLC-511W. Omogućava autentifikovanim administratorima da iskoriste funkciju “TestEmail” i ubace OS komande kao root.
Ovaj problem sa ubrizgavanjem komande OS-a (CWE-78) predstavlja kritičnu sigurnosnu prijetnju. CISA preporučuje prekid upotrebe proizvoda ako nema dostupnih efikasnih sredstava za ublažavanje.
CVE-2021-40407 – Reolink RLC-410W OS Command Injection
Ova ranjivost posebno utiče na Reolink RLC-410W kameru. U funkciji mrežnih postavki uređaja postoji autentifikovana greška u ubrizgavanju komandi OS (CWE-78), koja napadačima pruža mogućnost izvršavanja komandi.
Ako nema mjera ublažavanja, korisnici bi trebali odmah prestati koristiti proizvod.
KEV katalog, koji održava CISA , služi kao vitalni resurs za organizacije za rješavanje ranjivosti koje napadači aktivno iskorištavaju.
Ažuriran u više formata (CSV, JSON, JSON šema), ovaj katalog pomaže zaštitnicima mreže da daju prioritet upravljanju ranjivostima u skladu sa aktivnostima prijetnji u stvarnom svijetu.
Organizacije se ohrabruju da procijene svoje sisteme za izloženost ovim ranjivostima i provedu potrebne mjere prije roka koji je preporučila CISA do 8. januara 2025.
Koristeći KEV katalog, sigurnosni timovi mogu poboljšati svoju odbranu i smanjiti rizik od eksploatacije.
Izvor: CyberSecurityNews