94/67 (IT) ประจำวันศุกร์ที่ 8 มีนาคม 2567
US Cybersecurity and Infrastructure Security Agency (CISA) ได้เพิ่มช่องโหว่ของ Android Pixel และ Sunhillo SureLine ลงใน Known Exploited Vulnerabilities (KEV) catalog จำนวน 2 รายการดังนี้
– CVE-2023-21237 เป็นช่องโหว่การเปิดเผยข้อมูล Android Pixel
– CVE-2021-36380 เป็นช่องโหว่ OS Command Injection ของ Sunhillo SureLine
ช่องโหว่ Android Pixel ที่ CVE-2023-21237 โดยเมื่อหากมีการ exploit ช่องโหว่นี้อาจนำไปสู่การเปิดเผยข้อมูลภายในเครื่องโดยไม่จำเป็นต้องมีสิทธิพิเศษและไม่จำเป็นต้องมีการโต้ตอบกับผู้ใช้งาน ซึ่งทาง Google แก้ไขปัญหาดังกล่าวในเดือนมิถุนายน 2023 และช่องโหว่ที่สองที่ CVE-2021-36380 เป็นช่องโหว่ OS Command Insert ใน Sunhillo SureLine เป็นการ exploit ช่องโหว่ซึ่งสามารถ execute arbitrary commands ด้วยสิทธิ์ root
ตามที่ Binding Operational Directive (BOD) 22-01: Reducing the Significant Risk of Known Exploited Vulnerabilities โดยหน่วยงาน FCEB จะต้องแก้ไขช่องโหว่ภายในวันที่กำหนด เพื่อป้องกันการถูกโจมตีและใช้ประโยชน์จากช่องโหว่ใน catalog ซึ่งผู้เชี่ยวชาญได้แนะนำให้องค์กรเอกชนตรวจสอบ catalog เพื่อแก้ไขช่องโหว่ในโครงสร้างพื้นฐานด้วย และทาง CISA ได้สั่งให้หน่วยงานรัฐบาลกลางแก้ไขช่องโหว่นี้ภายใน 26 มีนาคม 2024
