Hai lỗ hổng được đưa vào danh mục là CVE-2012-4792 (điểm CVSS 9,3) và CVE-2024-39891 (điểm CVSS 5,3). Lỗ hổng CVE-2012-4792 là một lỗ hổng Use – After – Free tồn tại trong Microsoft Internet Explorer. Lỗ hổng này có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý thông qua trang web được tạo có chủ đích. CVE-2012-4792 đã từng bị lạm dụng như một phần của các cuộc tấn công Watering Hole nhắm vào các trang web của Hội đồng Quan hệ Đối ngoại (CFR) Hoa Kỳ và Tập đoàn Capstone Turbine vào tháng 12/2012.
Trong khi đó, lỗ hổng CVE-2024-39891 là lỗ hổng tiết lộ thông tin ở điểm cuối không được xác thực có thể bị khai thác để chấp nhận yêu cầu chứa số điện thoại và phản hồi bằng thông tin về việc số điện thoại đó có được đăng ký với Authy hay không.
Đầu tháng này, Twilio cho biết họ đã giải quyết vấn đề trong phiên bản 25.1.0 (Android) và 26.1.0 (iOS) sau khi các tác nhân đe dọa không xác định đã lợi dụng thiếu sót để xác định dữ liệu liên quan đến tài khoản Authy.
CISA cho biết rằng: “Những loại lỗ hổng này là vectơ tấn công thường xuyên của các tác nhân mạng độc hại và gây ra rủi ro đáng kể cho doanh nghiệp liên bang”.
Các cơ quan của Chi nhánh Hành pháp Dân sự Liên bang (FCEB) được yêu cầu khắc phục các lỗ hổng đã xác định trước ngày 13/8/2024 để bảo vệ mạng trước các mối đe dọa đang hoạt động.
Khánh Vinh
Nguồn: Tạp chí ATTT
