CISA a adăugat două vulnerabilități critice în lista KEV: Collabora Online și Arista VCO

Cum ocolește defectul din Collabora Online?

Agenția de Securitate Cibernetică și a Infrastructurii din SUA (CISA) a anunțat vineri că două bug-uri critice au intrat în catalogul său de vulnerabilități cunoscute ca fiind exploatate. Defectele afectează serverul CODE integrat în Collabora Online și orchestratorul VeloCloud (VCO) de la Arista Networks. Ambele au fost observate în atacuri active în mediul real, ceea ce a declanșat alerte imediate către sectorul federal și cel privat.

Vulnerabilitatea din Collabora Online, identificată ca CVE-2023- , permite unui atacator neautentificat să executeze cod arbitrar pe serverul care găzduiește editorul de documente colaborative.

Cercetătorii spun că bug-ul provine dintr-o validare insuficientă a intrărilor în componenta CODE, care procesează documentele trimise de utilizatori.

Între timp, problema din Arista VCO, CVE-2023-YYYYY, exploatează o eroare de logică în API-ul orchestratorului, oferind atacatorilor posibilitatea de a ocoli autentificarea și de a prelua controlul administrativ asupra dispozitivelor de rețea la margine.

De ce e VCO o amenințare în creștere?

Ambele vulnerabilități au primit evaluare critică din partea Bazei de Date Naționale a Vulnerabilităților, reflectând potențialul lor de a compromite confidențialitatea, integritatea și disponibilitatea serviciilor esențiale.

Collabora Online integrează un server CODE pentru a redacta și edita fișiere office în timp real. Analizatorii de securitate au descoperit că payload-uri de documente special concepute pot declanșa un depășire a buffer-ului, ducând la execuție de cod la distanță fără nicio interacțiune din partea utilizatorului.

Defectul a fost raportat inițial de o firmă de securitate care a observat încercări de exploatare vizând agenții guvernamentale. Patches sunt acum disponibile, dar multe instalări rămân neactualizate din cauza complexității actualizării componentelor integrate. Administratorii sunt îndemnați să aplice ultima actualizare de securitate de la producător și să impună o segmentare strictă a rețelei pentru serverul CODE.

VCO-ul de la Arista gestionează rețelele wide-area definite prin software pentru întreprinderi și furnizori de servicii. Bug-ul CVE-2023-YYYYY exploatează o verificare de autorizare lipsă în API-ul de orchestrare, permițând atacatorilor să emită comenzi privilegiate către routerele de margine.

Indicatorii timpurii arată că actorii de amenințare folosesc defectul pentru a intercepta trafic și a insera payload-uri malefice în rețelele corporative. Avizul agenției menționează că lanțul de exploatare poate fi combinat cu alte unelte pentru a obține mișcare laterală în mediurile compromise. Organizațiile care folosesc VeloCloud sunt sfătuite să se actualizeze la versiunea cu patch și să verifice jurnalele de acces la API pentru activitate anormală.

Două bug-uri critice exploatate în Collabora Online și Arista!

Adăugarea acestor două defecte în lista KEV a CISA semnalizează un risc crescut pentru organizațiile care se bazează pe platforme de redactare colaborativă și soluții SD-WAN. Lipsa remedierii prompte poate duce la încălcări ale datelor, întreruperi de servicii și posibilă spionaj. CISA va continua să monitorizeze tendințele de exploatare și poate emite ghiduri suplimentare pe măsură ce apar noi informații.

Ce pași ar trebui să ia organizațiile pentru a atenua riscul din Collabora Online? Aplicați imediat ultimul patch de la producător, izolați serverul CODE de rețelele publice și monitorizați activitatea neobișnuită de procesare a documentelor.

Se poate detecta vulnerabilitatea din Arista VCO după o încălcare? Da, verificarea jurnalelor de apeluri API pentru comenzi neautorizate și verificarea conturilor de administrare noi pot dezvăli compromiterea.

Va oferi CISA resurse suplimentare pentru entitățile afectate? CISA eliberează de obicei ghiduri de atenuare și poate oferi asistență tehnică prin programele sale de parteneriat pentru operatorii de infrastructură critică.