In der vergangenen Woche hat die US-amerikanische IT-Sicherheitsbehörde CISA fünf alte Sicherheitslücken neu in den „Known-Exploited-Vulnerabilities“-Katalog (KEV) aufgenommen. Aktuell sollen Angreifer diese teils sehr alten Schwachstellen aktiv ausnutzen.

Die CISA hat parallel eine Warnung zu einer Angriffskampagne veröffentlicht, in der alle fünf Lücken als zum Ausspähen sensibler Informationen ausgenutzt gelistet sind. Aus dem Jahr 2015 stammen die ältesten Sicherheitslücken. Über eine alte Lücke in nicht aktualisierten Fassungen von ProFTPD können Angreifer aus dem Netz beliebige Dateien mit Befehlen auslesen oder schreiben (CVE-2015-3306, CVSS2 10.0, Risiko „kritisch“).

Auch aus dem Jahr 2015 war eine Schwachstelle im DNS-Server BIND, die Angreifern aus dem Netz das Provozieren von Denial-of-Service-Zuständen ermöglichte (CVE-2015-5477, CVSS 7.5, Risiko „hoch“). Aus dem Jahr 2016 existierte eine Schwachstelle in Apache Struts, über die bösartige Akteure bei aktivierter „Dynamic Method Invocation“ beliebigen Programmcode einschleusen und ausführen können (CVE-2016-3081, CVSS 8.1, Risiko „hoch“).

Ebenfalls Codeschmuggel aus dem Netz ermöglicht eine Path-Traversal-Lücke in OnlyOffice Docs bei aktiviertem JWT (CVE-2021-3199, CVSS 9.8, Risiko „kritisch“). Weiterhin können Angreifer in Strapi im Admin-Panel sensible Informationen auslesen. Die Behörde weist darauf hin, dass die Verkettung mit der Schwachstelle CVE-2023-22621 zur Ausführung von eingeschleustem Schadcode führen kann (CVE-2023-22894, CVSS laut CISA 7.2, Risiko „hoch“).

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE