CVE-2024-1553 e CVE-2024-1557 são bugs de segurança de memória classificados como alta severidade. “Alguns desses bugs mostraram evidências de corrupção de memória e presumimos que com esforço suficiente alguns deles poderiam ter sido explorados para executar código arbitrário,” disseram os pesquisadores da Mozilla.
Zoom
O gigante das videoconferências Zoom emitiu correções para sete falhas em seu software, uma das quais tem uma pontuação CVSS de 9.6. CVE-2024-24691 é um bug de validação de entrada incorreta no Zoom Desktop Client for Windows, Zoom VDI Client for Windows e Zoom Meeting SDK for Windows. Se explorada, o problema pode permitir que um atacante não autenticado aumente seus privilégios via acesso à rede, disse o Zoom em um boletim de segurança.
Outra falha notável é CVE-2024-24697, um problema de caminho de busca não confiável em alguns clientes do Zoom de 32 bits do Windows que poderia permitir que um usuário autenticado com acesso local aumentasse seus privilégios.
Ivanti
Em janeiro, a Ivanti alertou que atacantes estavam visando duas vulnerabilidades não corrigidas em seus produtos Connect Secure e Policy Secure, rastreadas como CVE-2023-46805 e CVE-2024-21887. Com uma pontuação CVSS de 8.2, a primeira vulnerabilidade de bypass de autenticação no componente web do Ivanti Connect Secure e Ivanti Policy Secure permite que um atacante remoto acesse recursos restritos através da interceptação de verificações de controle.
Com uma pontuação CVSS de 9.1, a segunda vulnerabilidade de injeção de comando nos componentes da web do Ivanti Connect Secure e Ivanti Policy Secure permite que um administrador autenticado envie solicitações especialmente elaboradas e execute comandos arbitrários no dispositivo. Essa vulnerabilidade pode ser explorada pela internet.
No final do mês, a empresa alertou as empresas sobre outras duas falhas graves, uma das quais estava sendo explorada em ataques. O problema explorado é um bug de falsificação de solicitação do lado do servidor no componente SAML rastreado como CVE-2024-21893. Enquanto isso, CVE-2024-21888 é uma vulnerabilidade de escalonamento de privilégios.
As correções estavam disponíveis até 1 de fevereiro, mas os problemas foram considerados tão graves que a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) aconselhou a desconectar todos os produtos Ivanti até 2 de fevereiro.
Em 8 de fevereiro, a Ivanti lançou uma correção para mais um problema rastreado como CVE-2024-22024, o que motivou outro aviso da CISA.
Fortinet
A Fortinet emitiu uma correção para uma questão crítica com uma pontuação CVSS de 9.6, que diz já estar sendo usada em ataques. Rastreada como CVE-2024-21762, a falha de execução de código impacta as versões do FortiOS 6.0, 6.2, 6.4, 7.0, 7.2 e 7.4. A vulnerabilidade de gravação fora dos limites pode ser usada para a execução de código arbitrário usando solicitações HTTP especialmente elaboradas, disse a Fortinet.
Isso aconteceu poucos dias depois que a empresa lançou uma correção para dois problemas em seus produtos FortiSIEM, CVE-2024-23108 e CVE-2024-23109, classificados como críticos com uma pontuação CVSS de 9.7. A falha no FortiSIEM Supervisor poderia permitir que um atacante remoto não autenticado execute comandos não autorizados via solicitações de API elaboradas, disse a Fortinet em um aviso.
Cisco
A Cisco listou várias vulnerabilidades em sua série Expressway que poderiam permitir que um atacante remoto não autenticado conduzisse ataques de falsificação de solicitação entre sites. Rastreadas como CVE-2024-20252 e CVE-2024-20254, duas vulnerabilidades na API dos dispositivos da série Cisco Expressway receberam uma pontuação CVSS de 9.6. “Um atacante poderia explorar essas vulnerabilidades persuadindo um usuário da API a seguir um link elaborado,” disse a Cisco. “Uma exploração bem-sucedida poderia permitir que o atacante executasse ações arbitrárias com o nível de privilégio do usuário afetado.”
SAP
A empresa de software corporativo SAP lançou 13 atualizações de segurança como parte de seu Dia de Patch de Segurança SAP. CVE-2024-22131 é uma vulnerabilidade de injeção de código no SAP ABA com uma pontuação CVSS de 9.1.
CVE-2024-22126 é uma vulnerabilidade de script entre sites no NetWeaver AS Java listada como tendo um alto impacto, com uma pontuação CVSS de 8.8. “Os parâmetros de URL de entrada são insuficientemente validados e codificados incorretamente antes de serem incluídos nos URLs de redirecionamento,” disse a empresa de segurança Onapsis. “Isso pode resultar em uma vulnerabilidade de script entre sites, com alto impacto na confidencialidade e impacto leve na integridade e disponibilidade.”
