La CISA ha aggiunto due nuove vulnerabilità al suo catalogo delle vulnerabilità sfruttate note, a seguito di prove di sfruttamento attivo.
La Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente aggiunto due nuove vulnerabilità al suo Catalogo delle Vulnerabilità Sfruttate Note. Questa decisione è stata presa sulla base di prove che indicano uno sfruttamento attivo di queste vulnerabilità. Le due nuove aggiunte sono:
- CVE-2024-4947: Vulnerabilità di confusione di tipo nel motore JavaScript V8 di Google Chromium
- CVE-2023-43208: Vulnerabilità di deserializzazione di dati non affidabili in NextGen Healthcare Mirth Connect
Questi tipi di vulnerabilità rappresentano vettori di attacco frequenti per gli attori cyber malintenzionati e costituiscono un rischio significativo per l’impresa federale.
La Direttiva Operativa Vincolante (BOD) 22-01, intitolata “Riduzione del rischio significativo delle vulnerabilità sfruttate note”, ha stabilito il Catalogo delle Vulnerabilità Sfruttate Note come un elenco in continua evoluzione di vulnerabilità note e comuni (CVE) che comportano un rischio significativo per l’impresa federale. La BOD 22-01 richiede alle agenzie del ramo esecutivo civile federale (FCEB) di rimediare alle vulnerabilità identificate entro la data prevista per proteggere le reti FCEB contro minacce attive.
Sebbene la BOD 22-01 si applichi solo alle agenzie FCEB, la CISA esorta fortemente tutte le organizzazioni a ridurre la loro esposizione agli attacchi informatici dando priorità alla tempestiva rimozione delle vulnerabilità del Catalogo come parte della loro pratica di gestione delle vulnerabilità. La CISA continuerà ad aggiungere vulnerabilità al catalogo che soddisfano i criteri specificati.