CISA bổ sung năm lỗ hổng cũ của BIND, Struts, Strapi, ONLYOFFICE và ProFTPD vào danh sách bị khai thác

Cơ quan CISA của Mỹ tuần này đã bổ sung năm lỗ hổng vào danh mục Known Exploited Vulnerabilities (các lỗ hổng đã biết bị khai thác). Không lỗ hổng nào là mới: chúng ảnh hưởng đến ISC BIND (CVE-2015-5477), Apache Struts (CVE-2016-3081), Strapi (CVE-2023-22894), ONLYOFFICE Docs (CVE-2021-3199) và ProFTPD (CVE-2015-3306). Việc được đưa vào danh mục có nghĩa là CISA có bằng chứng về việc khai thác trong thực tế, nhưng các mục này không nêu tên bất kỳ kẻ tấn công nào hay cho biết các cuộc tấn công diễn ra khi nào.

Theo danh mục, lỗi BIND cho phép kẻ tấn công từ xa khiến máy chủ BIND ngừng hoạt động bằng các truy vấn TKEY được tạo đặc biệt, gây ra tình trạng từ chối dịch vụ (denial of service). Lỗ hổng Struts là một vấn đề chèn lệnh (command injection) có thể dẫn đến thực thi mã từ xa thông qua tiền tố method: khi Dynamic Method Invocation được bật. Mục ProFTPD mô tả một điểm yếu trong kiểm soát truy cập có thể cho phép kẻ tấn công từ xa đọc và ghi các tệp tùy ý bằng các lệnh site cpfr và site cpto.

Đối với Strapi, CISA mô tả việc lưu trữ thông tin nhạy cảm dưới dạng văn bản rõ (cleartext), cho phép người có quyền truy cập bảng quản trị (admin panel) khám phá thông tin chi tiết của người dùng thông qua bộ lọc truy vấn; cơ quan này nói thêm rằng lỗ hổng có thể được kết hợp với CVE-2023-22621 để thực thi mã từ xa và rằng các phiên bản bị ảnh hưởng có thể đã hết vòng đời hỗ trợ (end-of-life). Lỗ hổng ONLYOFFICE Docs là lỗi path traversal trong một tham số tải lên hình ảnh, phát sinh khi JWT được sử dụng, và cũng có thể cho phép thực thi mã từ xa. CISA ghi nhận việc sử dụng trong ransomware là không rõ đối với cả năm mục.

Các bản sửa lỗi đã có từ lâu. ISC công bố khuyến cáo vào ngày 28 tháng 7 năm 2015 cùng các bản phát hành đã vá 9.9.7-P2 và 9.10.2-P3, và vào thời điểm đó cho biết không biết đến bất kỳ hoạt động khai thác nào đang diễn ra. Bản tin S2-032 của Apache Struts bao gồm các phiên bản từ 2.3.20 đến 2.3.28, ngoại trừ 2.3.20.3 và 2.3.24.3, và liệt kê 2.3.28.1, 2.3.24.3 và 2.3.20.3 là các bản phát hành đã được sửa; tắt Dynamic Method Invocation là phương án thay thế. CISA đặt hạn chót ba ngày sau khi đưa vào danh sách cho cả năm lỗ hổng và dẫn chiếu chỉ thị BOD 26-04, yêu cầu người dùng áp dụng các biện pháp giảm thiểu của nhà cung cấp hoặc ngừng sử dụng sản phẩm nếu không có biện pháp nào.