La CISA ajoute cinq vulnérabilités historiques activement exploitées au catalogue KEV

La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a mis à jour le catalogue des vulnérabilités connues et exploitées (KEV), en y ajoutant cinq failles de sécurité importantes. Parmi ces vulnérabilités figurent un défaut de contrôle des accès dans ProFTPD (CVE-2015-3306), un bug de traversée de chemin dans ONLYOFFICE Docs (CVE-2021-3199) et des problèmes d'injection de commandes dans Apache Struts (CVE-2016-3081). La liste comprend également l'exposition d'informations en clair dans Strapi (CVE-2023-22894) et une grave faiblesse affectant le serveur DNS ISC BIND (CVE-2015-5477). La décision de la CISA montre que les acteurs malveillants continuent d'exploiter avec succès des failles, même anciennes, pour compromettre des périmètres d'entreprise qui ne sont pas correctement mis à jour. Les agences fédérales américaines et les organisations du monde entier sont tenues d'appliquer les correctifs ou les mesures d'atténuation recommandées dans des délais stricts afin de prévenir les intrusions. L'absence de mise à jour rapide de ces composants expose les infrastructures critiques à un risque d'exécution de code à distance et de vol persistant de données.

Source : Security Affairs