La Cybersecurity and Infrastructure Security Agency (CISA) ha recentemente aggiunto una nuova vulnerabilità al suo Catalogo delle Vulnerabilità Note Sfruttate, in seguito a prove di sfruttamento attivo. La vulnerabilità in questione, identificata come CVE-2023-4911, riguarda un overflow del buffer nella GNU C Library. Questo tipo di vulnerabilità rappresenta un vettore di attacco comune per gli attori cyber malintenzionati e costituisce un rischio significativo per l’ente federale.
Direttive operative vincolanti e pratiche di gestione
La Direttiva Operativa Vincolante (BOD) 22-01, “Ridurre il Rischio Significativo delle Vulnerabilità Note Sfruttate”, ha stabilito il Catalogo come un elenco dinamico di vulnerabilità comuni note (CVE) che presentano un rischio significativo per l’ente federale.
CVE-2023-4911 GNU C Library Buffer Overflow Vulnerability
La BOD 22-01 richiede alle agenzie del Ramo Esecutivo Civile Federale (FCEB) di rimediare alle vulnerabilità identificate entro la data prevista per proteggere le reti FCEB contro minacce attive. Sebbene la BOD 22-01 si applichi solo alle agenzie FCEB, la CISA esorta fortemente tutte le organizzazioni a ridurre la loro esposizione agli attacchi informatici, dando priorità alla tempestiva rimediazione delle vulnerabilità del Catalogo come parte della loro pratica di gestione delle vulnerabilità.
Cinque nuovi avvisi sui Sistemi di Controllo Industriale
In aggiunta, la CISA ha rilasciato cinque avvisi sui Sistemi di Controllo Industriale (ICS) il 21 novembre 2023.
- ICSA-23-325-01 WAGO PFC200 Series
- ICSA-23-325-02 Fuji Electric Tellus Lite V-Simulator
- ICSA-23-208-03 Mitsubishi Electric CNC Series (Update C)
- ICSA-23-115-01 Keysight N8844A Data Analytics Web Service (Update A)
- ICSA-23-297-01 Rockwell Automation Stratix 5800 and Stratix 5200 (Update A)
Questi avvisi forniscono informazioni tempestive su problemi di sicurezza attuali, vulnerabilità e exploit che circondano gli ICS. La CISA incoraggia gli utenti e gli amministratori a rivedere i nuovi avvisi ICS per dettagli tecnici e misure di mitigazione.