L’Agence am\u00e9ricaine de cybers\u00e9curit\u00e9 et de s\u00e9curit\u00e9 des infrastructures (CISA) mardi ajout\u00e9e<\/a> trois failles de s\u00e9curit\u00e9 dans son catalogue de vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV), sur la base de preuves d’exploitation active.<\/p>\n La liste des lacunes est la suivante –<\/p>\n CVE-2022-47986 est d\u00e9crit comme une faille de d\u00e9s\u00e9rialisation YAML dans la solution de transfert de fichiers qui pourrait permettre \u00e0 un attaquant distant d’ex\u00e9cuter du code sur le syst\u00e8me.<\/p>\n Les d\u00e9tails de la faille et une preuve de concept (PoC) ont \u00e9t\u00e9 partag\u00e9<\/a> par Assetnote le 2 f\u00e9vrier, un jour apr\u00e8s lequel la Fondation Shadowserver a dit<\/a> il “a capt\u00e9 des tentatives d’exploitation” dans la nature.<\/p>\n L’exploitation active de la faille Aspera Faspex intervient peu de temps apr\u00e8s qu’une vuln\u00e9rabilit\u00e9 du logiciel de transfert de fichiers g\u00e9r\u00e9 GoAnywhere MFT de Fortra (CVE-2023-0669) a \u00e9t\u00e9 exploit\u00e9e par des acteurs malveillants ayant des liens potentiels avec l’op\u00e9ration de ran\u00e7ongiciel Clop.<\/p>\n CISA a \u00e9galement ajout\u00e9 deux failles impactant Mitel MiVoice Connect (CVE-2022-41223 et CVE-2022-40765) qui pourraient permettre \u00e0 un attaquant authentifi\u00e9 disposant d’un acc\u00e8s au r\u00e9seau interne d’ex\u00e9cuter du code arbitraire.<\/p>\n Les d\u00e9tails exacts entourant la nature des attaques ne sont pas clairs, mais une autre faille de MiVoice Connect a \u00e9t\u00e9 exploit\u00e9e l’ann\u00e9e derni\u00e8re pour d\u00e9ployer un ran\u00e7ongiciel. Les vuln\u00e9rabilit\u00e9s \u00e9taient patch\u00e9<\/a> par Mitel<\/a> en octobre 2022.<\/p>\n \u00c0 la lumi\u00e8re de l’exploitation dans la nature, les agences de la branche ex\u00e9cutive civile f\u00e9d\u00e9rale (FCEB) sont tenues d’appliquer les mises \u00e0 jour n\u00e9cessaires d’ici le 14 mars 2023 pour s\u00e9curiser les r\u00e9seaux contre les menaces potentielles.<\/p>\n CISA, dans un d\u00e9veloppement connexe, a \u00e9galement lib\u00e9r\u00e9<\/a> un avis sur les syst\u00e8mes de contr\u00f4le industriel (ICS) qui aborde des failles critiques (CVE-2022-26377 et CVE-2022-31813) dans le MELSOFT iQ AppPortal de Mitsubishi Electric.<\/p>\n “L’exploitation r\u00e9ussie de ces vuln\u00e9rabilit\u00e9s pourrait permettre \u00e0 un attaquant malveillant d’avoir des impacts non identifi\u00e9s tels que le contournement de l’authentification, la divulgation d’informations, le d\u00e9ni de service ou le contournement de l’authentification par adresse IP”, a d\u00e9clar\u00e9 l’agence. a dit<\/a>.<\/p>\n <\/p>\n\n