La CISA aggiunge cinque vecchie falle di BIND, Struts, Strapi, ONLYOFFICE e ProFTPD al suo elenco di vulnerabilità sfruttate

Questa settimana l'agenzia statunitense CISA ha aggiunto cinque vulnerabilità al suo catalogo Known Exploited Vulnerabilities (vulnerabilità sfruttate note). Nessuna di esse è nuova: riguardano ISC BIND (CVE-2015-5477), Apache Struts (CVE-2016-3081), Strapi (CVE-2023-22894), ONLYOFFICE Docs (CVE-2021-3199) e ProFTPD (CVE-2015-3306). L'inserimento nel catalogo significa che la CISA dispone di prove di sfruttamento reale (in the wild), ma le voci non nominano alcun aggressore né indicano quando siano avvenuti gli attacchi.

Secondo il catalogo, il bug di BIND consente ad aggressori remoti di provocare l'arresto dei server BIND tramite query TKEY appositamente costruite, causando un denial of service. La falla di Struts è un problema di command injection che può portare all'esecuzione di codice da remoto attraverso il prefisso method: quando è attivata la Dynamic Method Invocation. La voce relativa a ProFTPD descrive una debolezza nel controllo degli accessi che potrebbe consentire ad aggressori remoti di leggere e scrivere file arbitrari usando i comandi site cpfr e site cpto.

Per Strapi, la CISA descrive una memorizzazione in chiaro di informazioni sensibili che permette a chi ha accesso al pannello di amministrazione di risalire ai dati degli utenti tramite il filtro delle query; l'agenzia aggiunge che può essere concatenata con CVE-2023-22621 per l'esecuzione di codice da remoto e che le versioni interessate potrebbero aver raggiunto la fine del ciclo di vita. La falla di ONLYOFFICE Docs è un path traversal in un parametro di caricamento delle immagini che si manifesta quando è in uso JWT e potrebbe anch'essa consentire l'esecuzione di codice da remoto. Per tutte e cinque le voci la CISA indica come sconosciuto l'uso in attacchi ransomware.

Le correzioni sono vecchie. L'ISC ha pubblicato il suo avviso il 28 luglio 2015 con le versioni corrette 9.9.7-P2 e 9.10.2-P3, dichiarando all'epoca di non essere a conoscenza di exploit attivi. Il bollettino S2-032 di Apache Struts riguarda le versioni dalla 2.3.20 alla 2.3.28, ad eccezione della 2.3.20.3 e della 2.3.24.3, e indica come versioni corrette la 2.3.28.1, la 2.3.24.3 e la 2.3.20.3; l'alternativa è disattivare la Dynamic Method Invocation. La CISA ha fissato per tutte e cinque una scadenza a tre giorni dall'inserimento e rimanda alla sua direttiva BOD 26-04, invitando gli utenti ad applicare le mitigazioni dei fornitori o a smettere di usare il prodotto se non ne sono disponibili.