CISA adaugă cinci vulnerabilități exploatate de Flax Typhoon

Agenția pentru Securitate Cibernetică și Infrastructură a SUA (CISA) a adăugat joi cinci defecte de securitate în catalogul său de vulnerabilități exploatate cunoscute (KEV), după ce acestea au fost folosite de un actor de amenințări legat de China, numit Flax Typhoon. Această decizie vine în contextul unor atacuri cibernetice semnificative, care implică exploatarea vulnerabilităților pentru a obține acces inițial la organizații și a sustrage date sensibile.

Detalii despre cele cinci vulnerabilități adăugate

Prima dintre vulnerabilități este CVE-2015-3306, cu un scor CVSS de 10,0, o vulnerabilitate de control al accesului incorect în ProFTPD, care ar permite atacatorilor la distanță să citească și să scrie fișiere arbitrare prin comenzile site cpfr și site cpto. Alături de aceasta, CVE-2021-3199, cu scor CVSS 9,8, este o vulnerabilitate de path traversal în ONLYOFFICE Docs, care poate apărea când este folosit JSON Web Token (JWT), prin secvența „/..” într-un parametru de încărcare a imaginilor, și poate permite execuția de cod la distanță.

Lista continuă cu CVE-2023-22894 (CVSS 7,2), o stocare în text clar a informațiilor sensibile în Strapi, care ar putea dezvălui detalii sensibile despre utilizatori unui atacator cu acces la panoul de administrare, prin filtrul de interogare. CVE-2016-3081 (CVSS 8,1) este o injecție de comenzi în Apache Struts, care permite unui atacator la distanță să execute cod arbitrar prin method:prefix când Dynamic Method Invocation este activat. Ultima, CVE-2015-5477 (CVSS 7,5), este o vulnerabilitate de tip reachable assertion în ISC BIND, care ar permite unui atacator la distanță să provoace un denial-of-service prin interogări TKEY.

Avertisment comun al șapte țări și termenul de aplicare a patch-urilor

Adăugarea celor cinci vulnerabilități coincide cu un avertisment comun emis de Australia, Canada, Japonia, Noua Zeelandă, Spania, Marea Britanie și SUA, care semnalează atacuri facilitate de o companie de securitate cibernetică din China, Integrity Technology Group. Operațiunile acesteia vizează opt vulnerabilități de securitate, inclusiv cele cinci menționate mai sus, pentru a obține acces inițial la organizații și a sustrage date sensibile.

Atacurile implică exploatarea defectelor cu instrumente de scanare, atacuri cross-site scripting și password spraying pe servere Microsoft Exchange, în timp ce persistența este asigurată prin software VPN, iar e-mailurile și acreditările sunt exfiltrate cu ajutorul unor scripturi. Celelalte trei vulnerabilități din cele opt figurau deja în catalogul KEV: CVE-2014-6278, o injecție de comenzi în GNU Bash, cunoscută și ca Shellshock, adăugată în octombrie 2025, CVE-2019-11510, o citire arbitrară de fișiere în Ivanti Pulse Connect Secure, adăugată în noiembrie 2021, și CVE-2021-22205, o execuție de cod la distanță în GitLab Community and Enterprise Edition, adăugată tot în noiembrie 2021.

„Actorii afiliați guvernului chinez continuă să se poziționeze în rețelele de infrastructură critică, inclusiv în sistemele de tehnologie operațională (OT), cu scopul de a perturba funcții critice la un moment viitor ales de ei”, a declarat Chris Butera, director executiv adjunct interimar pentru securitate cibernetică. Din cauza exploatării active, agențiile federale trebuie să aplice patch-urile necesare sau să renunțe la utilizarea produselor afectate până la 11 octombrie 2026.

Bmircea