CISA bổ sung lỗi Microsoft SharePoint 9.8 'nghiêm trọng' vào danh mục KEV của mình

Hôm thứ Tư, Cơ quan An ninh mạng và Cơ sở hạ tầng (CISA) đã bổ sung một lỗ hổng leo thang đặc quyền ảnh hưởng đến máy chủ Microsoft SharePoint vào danh sách Các lỗ hổng bị khai thác đã biết (KEV).

SharePoint là một hệ thống lưu trữ và quản lý tài liệu dựa trên đám mây phổ biến, cũng được các công ty sử dụng theo nhiều cách khác nhau để triển khai các ứng dụng nội bộ và quy trình kinh doanh cũng như chia sẻ tài nguyên qua mạng nội bộ. Gần đây nhất là năm 2020, nó đã tận hưởng hơn 200 triệu người dùng hoạt động hàng tháng.

Sự bổ sung mới nhất cho KEV, CVE-2023-29357, là một lỗ hổng “nghiêm trọng” 9.8/10 trên thang CVSS, ảnh hưởng đến SharePoint Server 2016 và 2019. Không cần sự tham gia của người dùng, lỗ hổng này cho phép kẻ tấn công bỏ qua các bước kiểm tra xác thực và giành quyền truy cập quản trị vào máy chủ bằng cách sử dụng Mã thông báo Web JSON giả mạo ( JWT) mã thông báo xác thực.

Các nhà nghiên cứu lần đầu tiên chứng minh tiện ích của CVE-2023-29357 tại sự kiện Pwn2023Own tháng 2 năm XNUMX, kết hợp nó với lỗ hổng SharePoint thứ hai để tạo ra một chuỗi khai thác thành công - và giành được 100,000 đô la trong quá trình. Một nhà nghiên cứu độc lập khác đã phát triển khai thác bằng chứng khái niệm (PoC) trong tháng Chín.

[Nhúng nội dung]

microsoft ban hành một bản vá trở lại vào tháng Sáu. Tuy nhiên, nó vẫn đang được khai thác tích cực, theo Cảnh báo mới của CISA. Trong một bài đăng của Mastodon vào thứ năm, nhà nghiên cứu bảo mật Kevin Beaumont đã cung cấp thêm một chút bối cảnh, viết rằng “Tôi biết về một nhóm ransomware cuối cùng đã có cách khai thác hiệu quả cho việc này”.

Đối với các tổ chức vẫn đang trong quá trình triển khai, bản vá tháng 6 có thể tìm thấy ở đây.

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoData.Network Vertical Generative Ai. Trao quyền cho chính mình. Truy cập Tại đây.
• PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Trung tâmESG. Than đá, công nghệ sạch, Năng lượng, Môi trường Hệ mặt trời, Quản lý chất thải. Truy cập Tại đây.
• PlatoSức khỏe. Tình báo thử nghiệm lâm sàng và công nghệ sinh học. Truy cập Tại đây.
• nguồn: https://www.darkreading.com/vulnerabilities-threats/cisa-adds-critical-microsoft-sharepoint-bug-kev-catalog