Δύο ακόμη ευπάθειες μπήκαν αυτή την εβδομάδα στη λίστα προτεραιοτήτων της αμερικανικής Υπηρεσίας Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA), γιατί, όπως ανακοίνωσε, υπάρχουν στοιχεία ότι τις εκμεταλλεύονται ήδη επιτιθέμενοι. Η πρώτη είναι το CVE-2024-27834 στα προϊόντα της Apple, που καταχωρίστηκε την Τετάρτη 4 Νοεμβρίου (δελτίο της CISA της 4ης Νοεμβρίου). Η δεύτερη είναι το CVE-2026-19868 στην υπηρεσία SSLVPN του SonicWall SonicOS, που προστέθηκε την Παρασκευή 6 Νοεμβρίου (δελτίο της 6ης Νοεμβρίου). Η λίστα είναι ο κατάλογος γνωστών εκμεταλλευόμενων ευπαθειών (Known Exploited Vulnerabilities, KEV), και στην έκδοση της 6ης Νοεμβρίου περιλάμβανε 1.769 εγγραφές.
Το κενό ασφαλείας της SonicWall αφορά το SonicOS, το λειτουργικό σύστημα των συσκευών δικτυακής ασφάλειας της εταιρείας, και συγκεκριμένα την υπηρεσία SSLVPN, δηλαδή την εξ αποστάσεως πρόσβαση στο εταιρικό δίκτυο μέσω κρυπτογραφημένης σύνδεσης. Η CISA το περιγράφει ως χρήση ταυτοποίησης με έναν μόνο παράγοντα (CWE-308). Στην πράξη, ένας χρήστης που διαθέτει έγκυρα διαπιστευτήρια για κάποια εναλλακτική μέθοδο ταυτοποίησης μπορεί να παρακάμψει τους ελέγχους ταυτοποίησης SAML. Αν η παράκαμψη πετύχει, μπορεί να παρακαμφθεί και η πολυπαραγοντική ταυτοποίηση (MFA) που επιβάλλεται μέσω SAML.
Τα στοιχεία της αμερικανικής Εθνικής Βάσης Δεδομένων Ευπαθειών (NVD), που στηρίζονται στην καταχώριση της ίδιας της SonicWall, δείχνουν ποιες εκδόσεις επηρεάζονται: οι εκδόσεις 7.3.3-7015 και παλαιότερες για τις συσκευές Gen7, και οι 8.2.2-8015 και παλαιότερες για τις Gen8. Η βαθμολογία σοβαρότητας CVSS 3.1 είναι 7,5 στα 10 (υψηλή). Η οδηγία του κατασκευαστή έχει τον κωδικό SNWLID-2026-0014 και βρίσκεται στη βάση ευπαθειών της SonicWall (PSIRT). Ο κατάλογος KEV καταγράφει ως άγνωστη τη χρήση της ευπάθειας σε εκστρατείες λυτρισμικού (ransomware), όπως και για την ευπάθεια της Apple.
Το CVE-2024-27834 είναι αρκετά παλαιότερο και αφορά τον κώδικα WebKit, τη μηχανή περιήγησης που χρησιμοποιούν το Safari και οι εφαρμογές της Apple. Η CISA εξηγεί ότι επιτιθέμενος που έχει ήδη τη δυνατότητα αυθαίρετης ανάγνωσης και εγγραφής στη μνήμη μπορεί να παρακάμψει την προστασία Pointer Authentication. Επηρεάζονται το Safari, το iOS, το iPadOS, το macOS, το tvOS και το watchOS 10.5. Η Apple είχε ήδη διορθώσει το σφάλμα στις 13 Μαΐου 2024: το Safari, το tvOS και τα iOS και iPadOS 17 στην έκδοση 17.5, το macOS Sonoma στην 14.5, το watchOS στην 10.5 και τα παλαιότερα iPhone και iPad στο iOS και iPadOS 16.7.8. Το σφάλμα είχε αναφερθεί από τον Μάνφρεντ Πάουλ (Manfred Paul), σε συνεργασία με τη Zero Day Initiative της Trend Micro, και το NVD το βαθμολογεί με 5,5 στα 10 (μέτρια σοβαρότητα). Ο κατάλογος παραπέμπει σε έξι σελίδες ασφαλείας της Apple.
Για τις δύο καταχωρίσεις η CISA ζητά να εφαρμοστούν μέτρα μετριασμού βάσει των οδηγιών των κατασκευαστών και να τηρηθεί η Δεσμευτική Επιχειρησιακή Οδηγία (BOD) 26-04 για την ιεράρχηση των ενημερώσεων ασφαλείας με βάση τον κίνδυνο. Αν δεν υπάρχουν διαθέσιμα μέτρα, ζητά να σταματήσει η χρήση του προϊόντος. Η προθεσμία είναι η Τετάρτη 18 Νοεμβρίου για την Apple και η Παρασκευή 20 Νοεμβρίου για το SonicWall. Η προθεσμία δεσμεύει μόνο τις μη στρατιωτικές ομοσπονδιακές υπηρεσίες της εκτελεστικής εξουσίας των ΗΠΑ (Federal Civilian Executive Branch, FCEB), οι οποίες, βάσει της BOD 26-04, πρέπει να διορθώνουν γρήγορα τις ευπάθειες υψηλού κινδύνου του καταλόγου σε συστήματα εκτεθειμένα στο διαδίκτυο και να ελέγχουν αν παραβιάστηκαν πριν εφαρμοστεί η ενημέρωση. Η CISA προτρέπει όλους τους οργανισμούς να χρησιμοποιούν τον κατάλογο ως οδηγό προτεραιοτήτων.
Οι δύο προσθήκες ακολουθούν παρόμοιες καταχωρίσεις των τελευταίων ημερών, όπως οι ευπάθειες του Ivanti Connect Secure και οι ευπάθειες των GitLab, Cisco ASA και FTD. Για το πώς διαλέγεται ποιες ευπάθειες αξίζει να διορθωθούν πρώτες, δείτε και την ανάλυση της Microsoft για 383.000 ευπάθειες.
