Nové zranitelnosti v katalogu CISA KEV – vydání 23a
Americká agentura CISA přidala do katalogu Known Exploited Vulnerabilities čtyři nové záznamy. Dotčeny jsou produkty Palo Alto Networks, Oracle, Google Android a linuxové jádro.
Katalog KEV shromažďuje zranitelnosti, u nichž CISA zaznamenala aktivní zneužívání v reálném prostředí. Záznamy slouží jako signál priority: pokud provozujete dotčené produkty, je jejich záplatování naléhavé bez ohledu na to, zda organizaci na to přímo upozornil výrobce.
CVE-2026-0257 postihuje GlobalProtect portal a gateway v Palo Alto Networks PAN-OS. Jde o obejití autentizace (CWE-565): pokud má firewall povoleno ověřování prostřednictvím authentication override cookies a existuje určitá specifická konfigurace certifikátu, útočník může navázat neoprávněné VPN připojení bez zadání platných přihlašovacích údajů. Palo Alto Networks potvrdilo, že eviduje omezené pokusy o zneužití na nezáplatovaných zařízeních. CVSS skóre je 9,1. Záplata je dostupná v PAN-OS 11.2.12 a novějším, 11.1.15 a novějším nebo 10.2.18-h6 a novějším; přesné verze závisí na použité větvi. Záplatování proveďte dle pokynů Palo Alto Networks PSIRT a poté ve svém prostředí zkontrolujte konfiguraci authentication override cookies.
CVE-2024-21182 zasahuje Oracle WebLogic Server. Nespecifikovaná zranitelnost umožňuje neautentizovanému útočníkovi s přístupem k síti přes protokoly T3 nebo IIOP získat neoprávněný přístup k citlivým nebo všem datům serveru. CVSS skóre je 7,5. Oracle záplatu vydal v rámci Critical Patch Update z července 2024; pokud jste ji dosud neaplikovali, učiňte tak neprodleně prostřednictvím Oracle CPU.
CVE-2025-48595 se týká Android Framework. Zranitelnost přetečení celého čísla (integer overflow) umožňuje místnímu útočníkovi spuštění libovolného kódu a eskalaci oprávnění na zařízení. CVSS skóre je 8,4. Google záplatu zahrnul do bezpečnostní aktualizace Androidu z června 2026 (bezpečnostní záplata 2026-06-01 nebo novější). Aktualizaci nainstalujte přes Nastavení > Systém > Aktualizace softwaru.
CVE-2022-0492 postihuje linuxové jádro. Zranitelnost nesprávné autentizace v mechanismu release_agent cgroups v1 umožňuje místnímu útočníkovi eskalovat oprávnění a získat přístup na úrovni roota. CVSS skóre je 7,8. Záplata je dostupná v mainline jádře od commitu ze začátku roku 2022; konkrétní záplatované verze se liší podle distribuce. Zkontrolujte dostupnost bezpečnostních aktualizací u svého dodavatele linuxové distribuce a nainstalujte je.
Další články
Nové zranitelnosti v katalogu CISA KEV – vydání 23b
Zranitelnost HTTP/2 Bomb zasahuje Nginx, Apache, IIS a další webové servery – útočník může za sekundy vyčerpat gigabajty paměti
