CISA include cinque vulnerabilità storiche attivamente sfruttate nel catalogo KEV

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiornato il catalogo delle vulnerabilità note e sfruttate (KEV), inserendo cinque importanti falle di sicurezza. Tra le vulnerabilità figurano il difetto di controllo degli accessi in ProFTPD (CVE-2015-3306), un bug di path traversal in ONLYOFFICE Docs (CVE-2021-3199) e problemi di command injection in Apache Struts (CVE-2016-3081). L'elenco include inoltre l'esposizione di informazioni in chiaro su Strapi (CVE-2023-22894) e una grave debolezza che affligge il server DNS ISC BIND (CVE-2015-5477). La decisione di CISA evidenzia come gli attori malevoli continuino a sfruttare con successo falle anche datate per violare perimetri aziendali non adeguatamente aggiornati. Alle agenzie federali statunitensi e alle organizzazioni a livello globale viene ordinato di applicare le patch o le mitigazioni raccomandate entro scadenze stringenti per prevenire intrusioni. Il mancato tempestivo aggiornamento di questi componenti espone le infrastrutture critiche al rischio di esecuzione di codice remoto e furto persistente di dati.

Source: Security Affairs