La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó el viernes tres fallas de seguridad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), según la evidencia de explotación activa.
Las tres vulnerabilidades son las siguientes:
- CVE-2023-28432 (puntuación CVSS: 7,5): vulnerabilidad de divulgación de información de MinIO
- CVE-2023-27350 (puntuación CVSS: 9,8): vulnerabilidad de control de acceso inadecuado PaperCut MF/NG
- CVE-2023-2136 (puntuación CVSS – TBD): vulnerabilidad de desbordamiento de enteros de Google Chrome Skia
«En una implementación de clúster, MinIO devuelve todas las variables de entorno, incluidas MINIO_SECRET_KEY y MINIO_ROOT_PASSWORD, lo que da como resultado la divulgación de información», dijeron los mantenedores de MinIO en un aviso publicado el 21 de marzo de 2023.
Los datos recopilados por GreyNoise muestran que hasta 18 direcciones IP maliciosas únicas de los EE. UU., los Países Bajos, Francia, Japón y Finlandia han intentado explotar la falla en los últimos 30 días.
La compañía de inteligencia de amenazas, en una alerta publicada a fines del mes pasado, también señaló cómo una implementación de referencia proporcionada por OpenAI para que los desarrolladores integren sus complementos en ChatGPT se basó en una versión anterior de MinIO que es vulnerable a CVE-2023-28432.
“Si bien la nueva función lanzada por OpenAI es una herramienta valiosa para los desarrolladores que desean acceder a datos en vivo de varios proveedores en su integración de ChatGPT, la seguridad debe seguir siendo un principio de diseño central”, dijo Matthew Remacle de GreyNoise.
También se agregó al catálogo de KEV un error crítico de ejecución remota de código que afecta al software de administración de impresión PaperCut y que permite a los atacantes remotos eludir la autenticación y ejecutar código arbitrario.
El proveedor ha abordado la vulnerabilidad a partir del 8 de marzo de 2023, con el lanzamiento de las versiones 20.1.7, 21.2.11 y 22.0.9 de PaperCut MF y PaperCut NG. Se espera que Zero Day Initiative, que informó el problema el 10 de enero de 2023, publique detalles técnicos adicionales el 10 de mayo de 2023.
Según una actualización compartida por la compañía con sede en Melbourne a principios de esta semana, la evidencia de explotación activa de servidores sin parches surgió alrededor del 18 de abril de 2023.
La firma de seguridad cibernética Arctic Wolf dijo que «ha observado actividad de intrusión asociada con un servidor PaperCut vulnerable donde la herramienta RMM Synchro MSP se cargó en el sistema de una víctima».
Por último, se agregó a la lista de fallas explotadas activamente una vulnerabilidad de Google Chrome que afecta la biblioteca de gráficos 2D de Skia que podría permitir que un actor de amenazas realice un escape de sandbox a través de una página HTML diseñada.
Se recomienda a las agencias de la Rama Ejecutiva Civil Federal (FCEB) en los EE. UU. que reparen las vulnerabilidades identificadas antes del 12 de mayo de 2023, para proteger sus redes contra amenazas activas.
Fuente y redacción: thehackernews.com
