افزودن نقص های مایکروسافت و زیمبرا به کاتالوگ KEV

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) بر اساس شواهدی مبنی بر بهره برداری فعال، دو نقص امنیتی را که بر مرکز شرکای مایکروسافت و مجموعه همکاری Synacor Zimbra (ZCS) تأثیر می گذارد، در فهرست آسیب پذیری های شناخته شده خود (KEV) قرار داد.

آسیب پذیری های مورد بحث به شرح زیر است:

 CVE-2024-49035 ( CVSS: 8.7) :یک آسیب پذیری کنترل دسترسی نامناسب در Microsoft Partner Center  که این امکان را به مهاجم می دهد تا دسترسی ها را افزایش دهد. (این آسیب پذیری در نوامبر 2024 رفع شد)

: CVE-2023-34192 (CVSS: 9.0) یک آسیب‌پذیری اسکریپت بین سایتی (XSS) در Synacor ZCS  که این امکان را به مهاجم احراز هویت شده از راه دور می‌دهد تا کد دلخواه را از طریق یک اسکریپت دستکاری شده در تابع /h/autoSaveDraft اجرا نماید. (آسیب پذیری مذکور در ژوئیه 2023 رفع شد)

سال گذشته، مایکروسافت اذعان کرد که آسیب پذیری با شناسه CVE-2024-49035 به طور گسترده مورد بهره برداری قرار گرفته است، اما جزئیات بیشتری در مورد نحوه استفاده از آن در حملات دنیای واقعی فاش نکرد. در حال حاضر هیچ گزارش عمومی در مورد بهره برداری گسترده از  آسیب پذیری  CVE-2023-34192  وجود ندارد.

با توجه به توسعه، آژانس‌های شعبه اجرایی غیرنظامی فدرال (FCEB) موظف هستند به‌روزرسانی‌های لازم را تا 18 مارس 2025 برای ایمن کردن شبکه‌های خود اعمال کنند.

این توسعه یک روز پس از آن صورت گرفت که CISA بر اساس شواهدی مبنی بر بهره‌برداری فعال، دو نقص امنیتی را که بر Adobe ColdFusion و مدیریت چرخه عمر محصول Oracle Agile (PLM) تأثیر می‌گذارد را به فهرست آسیب‌پذیری‌های شناخته شده (KEV) اضافه کرد.

منبع:

https://thehackernews.com/2025/02/cisa-adds-microsoft-and-zimbra-flaws-to.html