La Cybersecurity and Infrastructure Security Agency (CISA) ha aggiunto quattro nuove vulnerabilità al suo catalogo di bug sfruttati, compresa la tanto discussa vulnerabilità “Spring4Shell” remote code execution (RCE).
Oltre al CVE-2022-22965 che colpisce lo Spring Framework, CISA ha incluso CVE-2022-22675 e CVE-2022-22674, due vulnerabilità che colpiscono macOS Monterey.
Il quarto è CVE-2021-45382 – una vulnerabilità di esecuzione di codice remoto che colpisce i router D-Link.
Tutti e quattro hanno una data di rimedio del 25 aprile e vengono solo giorni dopo che CISA ha aggiunto altri sette bug alla lista, che è compilata sulla base di prove di sfruttamento attivo.
Lo Spring Framework colpito da CVE-2022-22965 fornisce strumenti e utilità per le applicazioni aziendali basate su Java, servendo effettivamente come importante “impianto idraulico” utilizzato nelle applicazioni web Java per aiutare a ridurre la quantità di sforzo richiesto per produrre un’applicazione funzionante.
Il 31 marzo, l’azienda ha confermato la vulnerabilità zero-day e ha rilasciato una patch per risolvere il problema.
Mentre gli utenti Mac che eseguono l’ultima versione di macOS Monterey sono ora al sicuro, lo stesso non si può dire per coloro che hanno ancora installato macOS Big Sur o macOS Catalina per qualche motivo. Come notato da Intego, Apple non ha ancora dato alcun segno che rilascerà aggiornamenti di sicurezza corrispondenti (come fa di solito) per le versioni precedenti di macOS.
Quando si tratta di macOS, Apple rilascia aggiornamenti di sicurezza per due versioni precedenti del sistema operativo. Questo perché alcuni utenti hanno bisogno di più tempo per aggiornare a causa della compatibilità del software, mentre altri non sono in grado di aggiornare i loro Mac perché sono stati interrotti dalla società.
L’anno scorso, Apple ha annunciato che avrebbe fornito aggiornamenti di sicurezza per gli utenti che sono rimasti su iOS 14. Tuttavia, dopo pochi mesi, l’azienda ha smesso di fornire patch di sicurezza per la versione precedente di iOS, costringendo gli utenti ad aggiornare a iOS 15.
In questo caso, tutti i dispositivi con iOS 14 possono essere aggiornati a iOS 15, ma ci sono Mac che non possono eseguire macOS Monterey.
La società di sicurezza Sonatype ha notato questa settimana che anche se una patch è stata rilasciata, più dell’80% dei download recenti sono di versioni potenzialmente vulnerabili. La società di cybersicurezza Kasada ha anche scoperto che i criminali informatici stanno utilizzando strumenti automatici di scanner di vulnerabilità per testare migliaia di URL e identificare quali sistemi non sono stati ancora patchati.
Le vulnerabilità di Apple sono state evidenziate dal gigante tecnologico la scorsa settimana. Apple ha rilasciato correzioni per entrambi gli zero giorni, ma ha notato che “potrebbero essere stati attivamente sfruttati“.
Nel suo avviso, la CISA ha detto che i router D-Link colpiti dalla vulnerabilità di esecuzione di codice remoto non possono essere aggiornati perché sono dispositivi a fine vita. Hanno esortato gli utenti a scollegarli se sono ancora utilizzati.
Il ricercatore di sicurezza Valtix Davis McCarthy ha detto che quando i router hanno raggiunto la fine della vita nel dicembre 2021, “sono diventati un obiettivo primario per lo sviluppo di exploit a causa del fatto che sono rivolti a Internet, sempre accesi, e non riceveranno aggiornamenti“.
