453/67 (IT) ประจำวันจันทร์ที่ 23 ธันวาคม 2567
หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้เพิ่มช่องโหว่ Command Injection ในซอฟต์แวร์ BeyondTrust Privileged Remote Access (PRA) และ Remote Support (RS) ที่หมายเลข CVE-2024-12356 มีคะแนนความรุนแรง CVSS:9.8 ลงในแคตตาล็อก Known Exploited Vulnerabilities (KEV) โดยช่องโหว่นี้เปิดโอกาสให้ผู้โจมตีที่ไม่ได้รับการยืนยันตัวตนสามารถส่งคำสั่งที่เป็นอันตรายและรันคำสั่งเหล่านั้นในฐานะผู้ใช้งานระบบ (site user) ได้ โดยส่งผลกระทบต่อทุกเวอร์ชันของผลิตภัณฑ์ BeyondTrust PRA และ RS ซึ่งอย่างไรก็ตาม BeyondTrust ได้ออกแพตช์แก้ไขช่องโหว่ในเวอร์ชัน RS และ PRA 22.1.x ขึ้นไป
เพื่อป้องกันและลดความเสี่ยงจากช่องโหว่เหล่านี้ หน่วยงานภายใต้การกำกับดูแลของหน่วยงานรัฐบาลกลางของสหรัฐฯ Federal Civilian Executive Branch (FCEB) จะต้องแก้ไขช่องโหว่ภายในเวลาที่กำหนด โดย CISA ได้กำหนดให้แก้ไขเสร็จสิ้นภายในวันที่ 27 ธันวาคม 2024 เพื่อป้องกันการถูกใช้ประโยชน์จากช่องโหว่และดำเนินการแก้ไขช่องโหว่ที่เกี่ยวข้องโดยเร็วที่สุด
