เมื่อวันที่ 2 กุมภาพันธ์ หน่วยงานความมั่นคงปลอดภัยทางไซเบอร์ และโครงสร้างพื้นฐานของสหรัฐ (CISA) ได้เพิ่มช่องโหว่ด้านความปลอดภัย 2 รายการ ได้แก่ ช่องโหว่บน Oracle E-Business Suite และช่องโหว่บน SugarCRM ไปยัง Known Exploited Vulnerabilities (KEV) เนื่องจากพบการโจมตีโดยใช้ช่องโหว่ทั้ง 2 รายการแล้วในปัจจุบัน ซึ่งก่อนหน้านี้ทาง CISA ได้เพิ่ม CVE-2017-11357 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) ซึ่งเป็นช่องโหว่ที่ส่งผลกระทบต่อ Telerik UI ทำให้สามารถสั่งการ และอัพโหลดไฟล์ได้จากระยะไกล
ช่องโหว่บน Oracle E-Business Suite
CVE-2022-21587 (คะแนน CVSS: 9.8 ระดับความรุนแรงสูงมาก) เป็นช่องโหว่ของผลิตภัณฑ์ Oracle Web Applications Desktop Integrator โดย Oracle E-Business Suite โดยเป็นช่องโหว่ที่สามารถหลบเลี่ยงการตรวจสอบสิทธิในการเข้าถึงเครือข่ายผ่าน HTTP protocol
Oracle Web Applications Desktop Integrator ที่ได้รับผลกระทบ
Oracle Web Applications Desktop Integrator Version 2.3 ถึง 12.2.11
ซึ่งทาง Oracle ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่แล้วในเดือนตุลาคม 2022
ช่องโหว่บน SugarCRM
CVE-2023-22952 (คะแนน CVSS: 8.8 ระดับความรุนแรงสูง) เป็นช่องโหว่การตรวจสอบความถูกต้องของอินพุตใน SugarCRM ซึ่งทำให้สามารถโจมตีแบบ PHP injection ได้
SugarCRM ** ที่ได้รับผลกระทบ
SugarCRM Version 0.0
SugarCRM Version 12.0.0
ซึ่งทาง SugarCRM ได้ออกแพตซ์อัปเดตเพื่อปิดช่องโหว่แล้วใน Version 11.0.5 และ 12.0.2
การป้องกัน
ควรเร่งดำเนินการอัปเดตเพื่อปิดช่องโหว่โดยเร็วที่สุด
ที่มา : thehackernews