Добавление уязвимостей в каталог
Исследователи безопасности из CISA обнаружили уязвимый элемент ядра Linux, позволяющий локальным пользователям без привилегий повышать свои права до уровня root и получать полный контроль над ИТ-системой.
Netfilter - это фреймворк для фильтрации пакетов и трансляции сетевых адресов (NAT), встроенный в ядро Linux и управляемый через утилиты, такие как IPtables и UFW. Согласно сообщению CISA, нарушение внутреннего состояния системы приводит к уязвимости типа UAF, которая может быть использована для выполнения произвольных чтений и записей в памяти ядра.
По информации CISA, CVE-2024-1086 (оценка CVSS 3.1: 7,8) связана с ошибкой use-after-free (UAF) в компоненте netfilter и позволяет локальному злоумышленнику повысить привилегии обычного пользователя до root и выполнить произвольный код. Уязвимость была устранена в январе 2024 г.
В каталог KEV также добавлен недавно обнаруженный недостаток, влияющий на продукты безопасности сетевых шлюзов Check Point (CVE-2024-24919 с оценкой CVSS 3.1: 7,5). Таким образом, уязвимость позволяет хакерам читать конфиденциальную информацию на шлюзах, которые подключены к интернету и имеют включенный удаленный доступ VPN или мобильный доступ. Это может дать киберпреступникам доступ к важным данным, включая пароли, и использовать их для более глубоких кибератак на своих жертв. Следовательно, большинство атак с использованием уязвимости CVE-2024-24919 были направлены на удаленные сценарии доступа через старые локальные аккаунты, которые используют не рекомендованную аутентификацию по паролю. Это указывает на то, что хакеры ищут уязвимости в ИТ-инфраструктуре, которые могут быть легко взломаны.
Эти типы уязвимостей являются частыми векторами атак злоумышленников и представляют значительный риск для компаний и производств. Ввиду активной эксплуатации CVE-2024-1086 и CVE-2024-24919, федеральным агентствам CISA рекомендует как можно скорее применить последние исправления до 20 июня 2024 г., чтобы защитить свои сети от потенциальных угроз и предотвратить возможные кибератаки. CISA продолжит добавлять в каталог уязвимости, соответствующие указанным критериям.
Организации исправляют ошибки KEV быстрее, чем другие
Исследователи CISA обнаружили, что каталог эксплуатируемых уязвимостей, поддерживаемый федеральным правительством США, оказывает ощутимое положительное влияние на бизнес как внутри страны, так и за пределами.
CISA уже почти три года ведет свой каталог известных эксплуатируемых уязвимостей KEV и быстро стал популярным хранилищем программных и аппаратных ошибок, активно используемых хакерами по всему миру.
Данные Bitsight показывают, что среднее время исправления уязвимостей, перечисленных в каталоге, в 3,5 раза быстрее, чем ошибок, не связанных с KEV. Другими словами, среднее время устранения ошибок, внесенных в список KEV, составляет 174 дня, а время устранения уязвимостей, не входящих в список KEV, - 621 день. Эти цифры получены в результате сканирования Bitsight на наличие уязвимостей в более чем 1 млн организаций - компаний, школ, местных органов власти и т. д. Исследователи Bitsight также сообщили о том, что в списке KEV популярны патчи к уязвимостям от вирусов-вымогателей. Список KEV оказывает ощутимый эффект, помогая компаниям и местным органам власти разобраться в потоке уязвимостей и устранить действительно важные ошибки.
Время накладывать патч
У каждой уязвимости, добавленной в список KEV, есть крайний срок, который зависит от серьезности ошибки и срочности ее устранения. Официально этот срок распространяется на федеральные агентства США, но для организаций за пределами правительства США он может служить ориентиром для определения серьезности ошибки.
Федеральные гражданские агентства, подотчетные обязательной директиве CISA, на 63% чаще устраняют KEV к установленному сроку, чем другие организации. Около 40% всех организаций (не входящих в федеральное правительство и не обязанных соблюдать правила CISA) способны устранить ошибки к установленному CISA сроку.
За время существования списка KEV сроки, отведенные для патча, кардинально менялись. Когда CISA только создавалось, оно обычно давало федеральным гражданским агентствам одну, две или шесть месяцев на исправление ошибки. Но к весне 2022 г. сроки сократились до трех недель.
Технологические компании быстрее всех устраняли уязвимости — отчасти потому, что они возглавили список секторов, которые подверглись наибольшему риску. Образовательные организации и местные органы власти оказались в худшем положении среди секторов, поскольку они были подвержены как высокой подверженности ошибкам в списке KEV, так и медленному времени их исправления. Страховые компании, кредитные союзы и инжиниринговые фирмы относительно мало подвержены уязвимостям списка KEV и обычно быстро устраняют проблемы.
Поделиться