ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), 'bilinen sömürülen güvenlik açıkları' kataloğuna, biri Google Chrome'u etkileyen üç güvenlik açığı ekledi.
Sorunları KEV kataloğuna eklemek, federal ajanslara ve tehdit aktörlerinin saldırılardan yararlandığı ve güvenlik güncellemelerinde veya hafifletmeler uygulanması için bir uyarı görevi görür.
ABD'deki federal ajanslar, etkilenen cihazların yerini almak veya bir saldırı riskini azaltan veya ortadan kaldıran savunmaları uygulamak için 6 Haziran'a kadar.
CVE-2024-4761 olarak izlenen Google Chrome'daki güvenlik açığı, satıcı tarafından 13 Mayıs'ta aktif olarak sömürüldüğü gibi doğrulandı, ancak şu anda hiçbir teknik ayrıntı mevcut değil.
Chrome'un V8 JavaScript motorunda, tarayıcıda JS kodunu yürüten ve şiddet derecelendirmesi yüksek olan sınırların dışındaki yazma güvenlik açığı olarak tanımlanır.
CVE-2024-4761'i ifşa ettikten iki gün sonra Google, Chrome'un V8 motorundaki başka bir güvenlik açığının (CVE-2024-4947) vahşi doğada kullanıldığını duyurdu, ancak CISA henüz KEV kataloğuna eklemedi.
CISA ayrıca D-Link DIR-600 yönlendiricilerini etkileyen on yıllık bir güvenlik açığının hala sömürüldüğünü uyarıyor. Kusur, CVE-2014-100005 olarak tanımlanır ve siteler arası bir istek (CSRF) sorunudur.
Saldırganların cihazın Web Yönetici paneline yönetici kimlik doğrulama isteklerini ele geçirmesine, kendi yönetici hesaplarını oluşturmasına, yapılandırmayı değiştirmesine ve cihazın kontrolünü ele geçirmesine olanak tanır.
D-Link DIR-600 yönlendiricileri keşfedilmeden dört yıl önce ömür sonu (EOL) (EOL) ulaşmış olsa da, satıcı, hafifletme önerileri içeren bir güvenlik bülteniyle birlikte ürün yazılımı 2.17B02 sürümünde bir düzeltme yayınladı.
D-Link ürünlerini etkileyen başka bir hata da son zamanlarda KEV kataloğuna eklendi. CVE-2021-40655 olarak tanımlanır ve 2015'ten beri desteksiz olan D-Link DIR-605 yönlendiricilerini etkiler.
Kusur için bir kavram kanıtı 2021'de GitHub'da yayınlandı. Bir saldırganın, kimlik doğrulaması olmadan /getcfg.php sayfasına gönderilen özel hazırlanmış bir istekle yöneticinin kullanıcı adını ve şifresini alabileceğini gösterdi.
CISA, iki D-Link kusuru hakkında herhangi bir arka plan bilgisi sağlamamıştır ve bunları kimin sömürdüğü veya ajansın saldırıları ne zaman kaydettiği belirsizdir.
Eski güvenlik açıkları, genellikle, sorunun türü veya yaşın yaşı ile ilgili olarak, büyük bir şekilde sömürülebilir güvenlik sorunları listelerini içeren Botnet kötü amaçlı yazılımları tarafından kullanılır.
D-Link 600 ve 605 durumunda, cihazı satıcının hala performans ve güvenlik güncellemeleri ile desteklediği daha yeni modellerle değiştirilmesi önerilir.
Google Chrome Acil Durum Güncellemesi, 2024'te 6. Zero Day Soleed Düzeltmeleri
Google, bu yıl saldırılarda sömürülen beşinci krom sıfır gün
Google, bir haftada üçüncü aktif olarak kullanılmış Chrome Sıfır Gün
D-Link Exo AX4800 yönlendiriciler
CISA, yazılım geliştiricilerini ot yolunu geçiş güvenlik açıklarını ayıklamaya çağırıyor
Kaynak: Bleeping Computer