CISA identifiziert sechs gefährliche Sicherheitslücken
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat sechs Sicherheitslücken als aktiv ausgenutzte Schwachstellen identifiziert und in ihren Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Betroffen sind Systeme von Unternehmen wie Apple, Apache, Adobe, D-Link und Joomla.
Unter den aufgeführten Sicherheitslücken ist auch CVE-2023-27524 (CVSS-Score: 8.9) eine besonders gefährliche Schwachstelle: Sie betrifft die Open-Source-Datenvisualisierungssoftware Apache Superset und ermöglicht Remotecodeausführung. Diese Schwachstelle wurde in Version 2.1 behoben.
Horizon3.ai – das Unternehmen hat die Schwachstelle im April 2023 erstmals entdeckt – beschreibt die Sicherheitslücke als „eine gefährliche Standardeinstellung in Apache Superset, die es einem nicht authentifizierten Angreifer erlaubt, Remotecode auszuführen, Anmeldeinformationen zu sammeln und Daten zu kompromittieren“.
Es ist derzeit nicht bekannt, wie die Schwachstelle in der realen Anwendungsumgebung ausgenutzt wird. Die CISA hat außerdem fünf weitere Schwachstellen zu ihrer Liste hinzugefügt.
- CVE-2023-38203 (CVSS-Score: 9.8) – Sicherheitslücke in Adobe ColdFusion bei der Deserialisierung nicht vertrauenswürdiger Daten
- CVE-2023-29300 (CVSS-Punktzahl: 9,8) – Sicherheitslücke bei der Deserialisierung nicht vertrauenswürdiger Daten in Adobe ColdFusion
- CVE-2023-41990 (CVSS-Punktzahl: 7.8) – Sicherheitsanfälligkeit bei der Codeausführung in mehreren Apple-Produkten
- CVE-2016-20017 (CVSS-Punktzahl: 9.8) – Befehlsinjektionsschwachstelle bei D-Link DSL-2750B-Geräten
- CVE-2023-23752 (CVSS-Punktzahl: 5.3) – Sicherheitslücke in der unzulässigen Zugriffskontrolle von Joomla!
Die Sicherheitslücke CVE-2023-41990, die von Apple in den Versionen iOS 15.7.8 und iOS 16.3 behoben wurde, wird von unbekannten Angreifern im Rahmen der Operation-Triangulation-Spyware-Angriffe ausgenutzt. Durch die Verarbeitung eines speziell gestalteten iMessage-PDF konnte so Remotecode ausgeführt werden.