Agências de inteligência na Austrália, no Reino Unido e nos EUA emitiram um comunicado conjunto na quarta-feira detalhando as vulnerabilidades mais exploradas em 2020 e 2021, mais uma vez demonstrando como os agentes de ameaças são capazes de transformar rapidamente as falhas divulgadas publicamente em suas vantagens.
“Os cibernéticos continuam a explorar vulnerabilidades de software publicamente conhecidas e muitas vezes datadas contra amplos conjuntos de alvos, incluindo organizações do setor público e privado em todo o mundo”, a Agência de Segurança de Infraestrutura e Cibersegurança dos EUA (CISA), o Australian Cyber Security Center (ACSC), o National Cyber Security Center (NCSC) do Reino Unido e o Federal Bureau of Investigation (FBI) dos Estados Unidos .
“No entanto, entidades em todo o mundo podem mitigar as vulnerabilidades listadas neste relatório aplicando os patches disponíveis em seus sistemas e implementando um sistema de gerenciamento de patches centralizado.”
As 30 principais vulnerabilidades abrangem uma ampla gama de software, incluindo trabalho remoto, redes privadas virtuais (VPNs) e tecnologias baseadas em nuvem, que cobrem um amplo espectro de produtos da Microsoft, VMware, Pulse Secure, Fortinet, Accellion, Citrix, F5 Big IP, Atlassian e Drupal.
As falhas mais rotineiramente exploradas em 2020 são as seguintes :
- CVE-2019-19781 (pontuação CVSS: 9,8) – Citrix Application Delivery Controller (ADC) e vulnerabilidade de passagem de diretório de gateway;
- CVE-2019-11510 (pontuação CVSS: 10.0) – Vulnerabilidade de leitura de arquivo arbitrário do Pulse Connect Secure;
- CVE-2018-13379 (pontuação CVSS: 9,8) – Vulnerabilidade de passagem de caminho Fortinet FortiOS levando a vazamento de arquivo do sistema;
- CVE-2020-5902 (pontuação CVSS: 9,8) – Vulnerabilidade de execução remota de código F5 BIG-IP;
- CVE-2020-15505 (pontuação CVSS: 9,8) – Vulnerabilidade de execução remota de código MobileIron Core & Connector;
- CVE-2020-0688 (pontuação CVSS: 8.8) – Vulnerabilidade de corrupção de memória do Microsoft Exchange;
- CVE-2019-3396 (pontuação CVSS: 9,8) – Vulnerabilidade de execução remota de código do Atlassian Confluence Server;
- CVE-2017-11882 (pontuação CVSS: 7,8) – Vulnerabilidade de corrupção de memória do Microsoft Office;
- CVE-2019-11580 (pontuação CVSS: 9,8) – vulnerabilidade de execução remota de código do Atlassian Crowd e Crowd Data Center;
- CVE-2018-7600 (pontuação CVSS: 9,8) – Vulnerabilidade de execução remota de código Drupal;
- CVE-2019-18935 (pontuação CVSS: 9.8) – Vulnerabilidade de desserialização do Telerik .NET resultando em execução remota de código;
- CVE-2019-0604 (pontuação CVSS: 9.8) – Vulnerabilidade de execução remota de código do Microsoft SharePoint;
- CVE-2020-0787 (pontuação CVSS: 7,8) – Vulnerabilidade de elevação de privilégio do Windows Background;Intelligent Transfer Service (BITS);
- CVE-2020-1472 (pontuação CVSS: 10.0) -Vulnerabilidade de elevação de privilégio do Windows Netlogon.
A lista de vulnerabilidades que estiveram sob ataque ativo até agora em 2021 está listada abaixo:
- Microsoft Exchange Server : CVE-2021-26855 , CVE-2021-26857 , CVE-2021-26858 e CVE-2021-27065 (também conhecido como “ProxyLogon”);
- Pulse segure : CVE-2021-22893 , CVE-2021-22894 , CVE-2021-22899 e CVE-2021-22900;
- Accellion : CVE-2021-27101 , CVE-2021-27102 , CVE-2021-27103 e CVE-2021-27104;
- VMware : CVE-2021-21985;
- Fortinet: CVE-2018-13379 , CVE-2020-12812 e CVE-2019-5591.
O desenvolvimento também vem uma semana depois que o MITER publicou uma lista dos 25 principais erros de software “mais perigosos” que podem levar a vulnerabilidades sérias que podem ser exploradas por um adversário para assumir o controle de um sistema afetado, obter informações confidenciais ou causar uma negação na condição de serviço.
“O alerta […] coloca o poder nas mãos de cada organização para corrigir as vulnerabilidades mais comuns, tais como dispositivos VPN de gateway não corrigidas”, conforme Paulo Chichester, Director NCSC de Operações, enquanto incitando a necessidade de priorizar patch para minimizar o risco de ser explorado por agentes mal-intencionados.
Este artigo é uma tradução de: https://thehackernews.com/2021/07/top-30-critical-security.html
