Apertura · Vulnerabilità sfruttate
La CISA aggiunge al proprio elenco degli exploit noti falle critiche in Collabora Online e Arista VeloCloud Orchestrator, di venerdì, naturalmente
Un server di documenti e un orchestratore SD-WAN risultano ora ufficialmente sotto attacco, cosa che gli aggressori sapevano già, perché erano proprio loro a condurlo.
Venerdì la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities due vulnerabilità, citando segnalazioni di sfruttamento attivo in rete. Una riguarda il Built-in CODE Server di Collabora Online, l'altra Arista VeloCloud Orchestrator; entrambe sono definite critiche. È tutto ciò che il registro pubblico ci offre questa mattina. Basta e avanza.
Nessuno dei due prodotti è esotico. Uno consente di modificare documenti in modo collaborativo. L'altro è un orchestratore, una scatola il cui mansionario prevede di essere obbedita dal resto della rete. Gli aggressori li vogliono entrambi per lo stesso motivo per cui li installiamo: molta fiducia si concentra in un solo punto. Se l'orchestratore viene compromesso, non avete un dispositivo vulnerabile. Avete un'opinione vulnerabile condivisa da tutti gli altri dispositivi.
Una cautela dalla lettura approfondita. Per tutto il fine settimana il feed di punteggio Atlas ha etichettato i gruppi ransomware con 'KEV × ransomware fusion', il che fa pensare che qualcuno abbia collegato queste falle a Qilin e compagni. Nessuno l'ha fatto. Nei feed di oggi nulla associa alcun gruppo ransomware a una specifica CVE. L'etichetta di fusione è l'ipotesi della dashboard, non un riscontro. Applicate le patch perché le falle sono sfruttate, non perché un riquadro è diventato ambra.
Perché è rilevanteSe gestite il server CODE di Collabora o un VeloCloud Orchestrator raggiungibile da qualsiasi fonte non attendibile, applicate la patch oggi e cercate segni di compromissione, in quest'ordine.