CISA แจ้งเตือน: 2 ช่องโหว่ใน Oracle E-Business Suite และ SugarCRM ตกเป็นเป้าหมายการโจมตี

เมื่อวันที่ 2 กุมภาพันธ์ หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัย 2 รายการ ได้แก่ ช่องโหว่บน Oracle E-Business Suite และช่องโหว่บน SugarCRM ไปยัง Known Exploited Vulnerabilities (KEV) เนื่องจากพบการโจมตีโดยใช้ช่องโหว่ทั้ง 2 รายการแล้วในปัจจุบัน ซึ่งก่อนหน้านี้ทาง CISA ได้เพิ่ม CVE-2017-11357 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) ซึ่งเป็นช่องโหว่ที่ส่งผลกระทบต่อ Telerik UI ทำให้สามารถสั่งการ และอัพโหลดไฟล์ได้จากระยะไกล

ช่องโหว่บน Oracle E-Business Suite

CVE-2022-21587 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) เป็นช่องโหว่ของผลิตภัณฑ์ Oracle Web Applications Desktop Integrator โดย Oracle E-Business Suite โดยเป็นช่องโหว่ที่สามารถหลบเลี่ยงการตรวจสอบสิทธิในการเข้าถึงเครือข่ายผ่าน HTTP protocol

Oracle Web Applications Desktop Integrator ที่ได้รับผลกระทบ

• Oracle Web Applications Desktop Integrator Version 2.3 ถึง 12.2.11

ซึ่งทาง Oracle ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่แล้วในเดือนตุลาคม 2022

ช่องโหว่บน SugarCRM

CVE-2023-22952 (คะแนน CVSS: 8.8 ระดับความรุนแรงสูง) เป็นช่องโหว่การตรวจสอบความถูกต้องของอินพุตใน SugarCRM ซึ่งทำให้สามารถโจมตีแบบ PHP injection ได้

SugarCRM ** ที่ได้รับผลกระทบ

• SugarCRM Version 0.0
• SugarCRM Version 12.0.0

ซึ่งทาง SugarCRM ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่แล้วใน Version 11.0.5 และ 12.0.2

การป้องกัน

ควรเร่งดำเนินการอัปเดตเพื่อปิดช่องโหว่โดยเร็วที่สุด

 

ที่มา : thehackernews