CISA menambahkan lima celah lama BIND, Struts, Strapi, ONLYOFFICE, dan ProFTPD ke daftar kerentanan yang dieksploitasi

Badan AS CISA pekan ini menambahkan lima kerentanan ke katalog Known Exploited Vulnerabilities miliknya. Tidak satu pun yang baru: kerentanan tersebut memengaruhi ISC BIND (CVE-2015-5477), Apache Struts (CVE-2016-3081), Strapi (CVE-2023-22894), ONLYOFFICE Docs (CVE-2021-3199), dan ProFTPD (CVE-2015-3306). Pencantuman dalam katalog berarti CISA memiliki bukti eksploitasi di dunia nyata (exploitation in the wild), tetapi entri-entri tersebut tidak menyebutkan penyerang mana pun atau kapan serangan terjadi.

Menurut katalog tersebut, bug BIND memungkinkan penyerang jarak jauh membuat server BIND berhenti dengan kueri TKEY yang dirancang khusus, sehingga menyebabkan penolakan layanan (denial of service). Celah Struts merupakan masalah injeksi perintah (command injection) yang dapat mengarah pada eksekusi kode jarak jauh melalui prefiks method: ketika Dynamic Method Invocation diaktifkan. Entri ProFTPD menggambarkan kelemahan kontrol akses yang dapat memungkinkan penyerang jarak jauh membaca dan menulis file sembarang menggunakan perintah site cpfr dan site cpto.

Untuk Strapi, CISA menggambarkan penyimpanan informasi sensitif dalam bentuk teks biasa (cleartext) yang memungkinkan seseorang dengan akses ke panel admin mengungkap detail pengguna melalui filter kueri; badan tersebut menambahkan bahwa celah ini dapat dirangkaikan dengan CVE-2023-22621 untuk eksekusi kode jarak jauh dan bahwa versi yang terdampak mungkin sudah mencapai akhir masa dukungan (end-of-life). Celah ONLYOFFICE Docs adalah path traversal pada parameter unggah gambar yang muncul ketika JWT digunakan dan juga dapat memungkinkan eksekusi kode jarak jauh. CISA mencantumkan penggunaan ransomware sebagai tidak diketahui untuk kelima entri tersebut.

Perbaikannya sudah lama tersedia. ISC menerbitkan advisori pada 28 Juli 2015 dengan rilis tambalan 9.9.7-P2 dan 9.10.2-P3, dan saat itu menyatakan tidak mengetahui adanya eksploit aktif. Buletin Apache Struts S2-032 mencakup versi 2.3.20 hingga 2.3.28, kecuali 2.3.20.3 dan 2.3.24.3, serta mencantumkan 2.3.28.1, 2.3.24.3, dan 2.3.20.3 sebagai rilis yang telah diperbaiki; menonaktifkan Dynamic Method Invocation adalah alternatifnya. CISA menetapkan tenggat tiga hari setelah pencantuman untuk kelimanya dan merujuk pada arahan (directive) BOD 26-04, yang meminta pengguna menerapkan mitigasi dari vendor atau berhenti menggunakan produk jika mitigasi tidak tersedia.