Cơ quan an ninh cơ sở hạ tầng và an ninh mạng Hoa Kỳ (CISA) mới thêm 5 lỗ hổng bảo mật vào danh mục các lỗ hổng bị khai thác đã biết (KEV) của mình và trích dẫn bằng chứng về việc lỗ hổng bị khai thác tích cực ngoài môi trường.

Các lỗ hổng này bao gồm ba lỗ hổng nghiêm trọng trong phần mềm Veritas Backup Exec Agent là CVE-2021-27876, CVE-2021-27877 và CVE-2021-27878, có thể dẫn đến việc thực thi các lệnh đặc quyền trên hệ thống cấp dưới mặc dù các bản vá cho những lỗ hổng này đã được Veritas phát hành vào tháng 3/2021.

Cụ thể, CVE-2021-27876 (điểm CVSS là 8,1) là lỗ hổng truy cập tệp Veritas Backup Exec Agent; CVE-2021-27877 (điểm CVSS; 8,2) là lỗ hổng bảo mật xác thực không đúng cách trong Veritas Backup Exec Agent; CVE-2021-27878 (điểm CVSS: 8,8) là lỗ hổng thực thi lệnh trong giải pháp sao lưu và khôi phục Veritas Backup Exec Agent.

Công ty an ninh mạng Mandiant (thuộc sở hữu của Google), đã tiết lộ rằng một chi nhánh liên quan đến hoạt động của phần mềm tống tiền BlackCat (còn gọi là ALPHV và Noberus) đang lợi dụng ba lỗ hổng trên để nhắm mục tiêu vào những cài đặt Veritas Backup Exec nhằm chiếm quyền truy cập ban đầu.

Theo công ty tình báo mối đe dọa, tác nhân đe dọa liên kết với tên gọi UNC4466, được phát hiện vào ngày 22/10/2022.

Trong một sự cố được Mandiant tiết lộ, UNC4466 đã chiếm được quyền truy cập vào máy chủ Windows tiếp xúc với Internet, sau đó thực hiện một loạt hành động cho phép kẻ tấn công triển khai tải trọng ransomware dựa trên Rust và vô hiệu hóa tính năng giám sát thời gian thực của Microsoft Defender.

Lỗ hổng thứ tư mà CISA thêm vào danh mục KEV là CVE-2019-1388 (điểm CVSS: 7,8), một lỗ hổng leo thang đặc quyền ảnh hưởng đến Microsoft Windows Certificate Dialog, có thể bị khai thác để chạy các tiến trình với quyền nâng cao trên máy chủ đã bị xâm phạm.

Lỗ hổng thứ năm có trong danh sách là CVE-2023-26083, có thể gây lộ lọt thông tin trong Arm Mali GPU Kernel Driver. Lỗ hổng được nhóm phân tích mối đe dọa (TAG) của Google tiết lộ vào tháng trước, khi bị một nhà cung cấp phần mềm gián điệp giấu tên lạm dụng như một phần của chuỗi khai thác để xâm phạm những điện thoại thông minh chạy Android của Samsung.

Chi nhánh các cơ quan dân sự liên bang (Federal Civilian Executive Branch Agencies -FCEB) thông báo thời hạn phải áp dụng các bản vá nhằm bảo vệ mạng của họ khỏi các mối đe dọa tiềm ẩn là trước ngày 28/4.

Khuyến nghị này cũng được đưa ra khi Apple phát hành các bản cập nhật cho trình duyệt web iOS, iPadOS, macOS và Safari để xử lý một cặp lỗi zero-day (CVE-2023-28205 và CVE-2023-28206) mà hãng cho biết đã bị khai thác trong các cuộc tấn công thực tế./.

Hạnh Tâm