La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) incluyó el martes dos fallos de seguridad que afectan a Microsoft Partner Center y Synacor Zimbra Collaboration Suite (ZCS) en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en pruebas de explotación activa.
Las vulnerabilidades en cuestión son las siguientes:
- CVE-2024-49035 (puntuación CVSS: 8,7) - Una vulnerabilidad de control de acceso inadecuado en Microsoft Partner Center que permite a un atacante escalar privilegios. (Corregida en noviembre de 2024).
- CVE-2023-34192 (puntuación CVSS: 9,0) - Vulnerabilidad de secuencias de comandos en sitios cruzados (XSS) en Synacor ZCS que permite a un atacante remoto autenticado ejecutar código arbitrario a través de un script elaborado en la función /h/autoSaveDraft. (Corregido en julio de 2023 con la versión 8.8.15 Parche 40)
El año pasado, Microsoft reconoció que la CVE-2024-49035 había sido explotada in-the-wild, pero no reveló ningún detalle adicional sobre cómo fue utilizada como arma en ataques del mundo real. En la actualidad no hay informes públicos sobre el uso indebido de CVE-2023-34192.
En vista de ello, los organismos del Poder Ejecutivo Civil Federal (FCEB) tienen la obligación de aplicar las actualizaciones necesarias antes del 18 de marzo de 2025 para proteger sus redes.
El desarrollo se produce un día después de que CISA añadiera dos fallos de seguridad que afectan a Adobe ColdFusion y Oracle Agile Product Lifecycle Management (PLM) a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), basándose en pruebas de explotación activa.
Fuente: thehackernews