La Agencia de Seguridad de Ciberseguridad e Infraestructura de los Estados Unidos (CISA) agregó el martes cuatro defectos de seguridad a su conocido catálogo de vulnerabilidades explotadas (KEV), citando evidencia de explotación activa en la naturaleza.
La serie de vulnerabilidades es la sucesivo –
- CVE-2024-45195 (Puntuación CVSS: 7.5/9.8): una vulnerabilidad de navegación forzada en Apache ofBiz que permite que un atacante remoto obtenga acercamiento no facultado y ejecute código despótico en el servidor (fijado en septiembre de 2024)
- CVE-2024-29059 (Puntuación CVSS: 7.5): una vulnerabilidad de divulgación de información en el entorno de Microsoft .NET que podría exponer el OBJREF URI y conducir a la ejecución de código remoto (fijado en marzo de 2024)
- CVE-2018-9276 (Puntuación CVSS: 7.2): una vulnerabilidad de inyección de comandos del sistema operante en el maestro de red PAESSLER PRTG que permite que un atacante con privilegios administrativos ejecute comandos a través de la consola web del administrador del sistema PRTG (fijado en abril de 2018)
- CVE-2018-19410 (Puntuación CVSS: 9.8): una vulnerabilidad particular de inclusión de archivos en el maestro de red PAESSLER PRTG que permite a un atacante remoto y no autenticado crear usuarios con privilegios de recitación -escritura (fijado en abril de 2018)
Aunque desde entonces estas deficiencias han sido abordadas por los respectivos proveedores, actualmente no hay informes públicos sobre cómo pueden activo sido explotados en ataques del mundo efectivo.
Se ha instado a las agencias de la rama ejecutiva civil federal (FCEB) a aplicar las soluciones necesarias antiguamente del 25 de febrero de 2025, para proteger contra amenazas activas.
