Nové zranitelnosti v katalogu CISA KEV – vydání 18
Americká agentura CISA přidala do svého katalogu aktivně zneužívaných zranitelností (KEV) čtyři nové položky. Týkají se routerů D-Link, serveru Samsung MagicINFO 9 a softwaru pro vzdálenou podporu SimpleHelp.
První přírůstek je CVE-2025-29635, command injection v routerech D-Link DIR-823X. Zranitelnost umožňuje autentizovanému útočníkovi spouštět libovolné příkazy odesláním POST požadavku na koncový bod /goform/set_prohibiting. Postižený produkt je podle výrobce v režimu end-of-life a end-of-service, oprava nebude vydána. CISA doporučuje produkt z provozu vyřadit. Zranitelnost spadá pod CWE-77 (improper neutralization of special elements used in a command).
Druhá položka, CVE-2024-7399, je path traversal v Samsung MagicINFO 9 Server. Tento systém pro správu digital signage umožňuje útočníkovi zapsat libovolné soubory s oprávněním systémové autority, čímž otevírá cestu ke kompletnímu kompromitování serveru. Zranitelnost spadá pod CWE-22 a CWE-434 (unrestricted upload of file with dangerous type). Záplata je k dispozici prostřednictvím standardního aktualizačního mechanismu Samsung; přehled vydaných oprav je na security.samsungtv.com/securityUpdates. Správci by měli ověřit verzi a aplikovat nejnovější bezpečnostní update.
Třetí a čtvrtá položka se týkají softwaru SimpleHelp, používaného pro vzdálenou IT podporu. CVE-2024-57728 je další path traversal: administrátoři mohou nahrát ZIP soubor zkonstruovaný technikou „zip slip" a zapsat soubory kamkoli na souborový systém serveru, což vede ke spuštění libovolného kódu pod uživatelem, který provozuje SimpleHelp server. CVE-2024-57726 je doplňková chyba autorizace – technici s nízkými oprávněními mohou vygenerovat API klíče s nadměrnými právy a postupně se vyšplhat až na roli serverového administrátora. Obě zranitelnosti se týkají SimpleHelp verzí 5.5.7 a starších, oprava je v novějších verzích; podrobnosti uvádí dokument simple-help.com/kb---security-vulnerabilities-01-2025. Provozovatelé by měli aktualizovat ihned, případně dočasně omezit síťovou dostupnost serveru.
Pro správce odpovídající za bezpečnost evropských kritických infrastruktur platí, že položky v katalogu KEV představují potvrzené aktivní zneužívání ve světě. Přestože CISA cílí lhůty na federální úřady USA, evropské subjekty NIS2 by měly tyto zranitelnosti řešit s podobnou prioritou – zveřejnění v KEV je signál, že útočníci je už používají. Pro všechny čtyři položky je termín CISA stanoven na 8. května 2026.
Zdroj
Další články
Italská pokuta za prodej kontaktů profesionálů, zrušená pokuta Amazonu ve Španělsku a rakouské tajné nahrávání pohovorů: výběr rozhodnutí z GDPRhub
Nové zranitelnosti v katalogu CISA KEV – vydání 32b
