CISA bổ sung lỗ hổng xác thực Apple vào danh mục khẩn cấp
"CISA added CVE-2024-27834, an improper authentication vulnerability in multiple Apple products, to its Known Exploited Vulnerabilities (KEV) Catalog due to evidence of active exploitation. This addition triggers prioritization of remediation for Federal Civilian Executive Branch (FCEB) agencies under BOD 26-04. CISA encourages all organizations to adopt risk-based vulnerability management and prioritize KEV Catalog vulnerabilities."
Lỗ hổng xác thực trong sản phẩm Apple có thể cho phép kẻ tấn công kiểm soát hoàn toàn hệ thống. Việc khai thác tích cực cho thấy mức độ rủi ro cao.
Các doanh nghiệp sử dụng sản phẩm Apple có thể gặp gián đoạn hoạt động và tổn thất dữ liệu do lỗ hổng này. Việc vá lỗi kịp thời là vô cùng quan trọng để giảm thiểu rủi ro.
CISA vừa thêm CVE-2024-27834, một lỗ hổng xác thực trong nhiều sản phẩm Apple, vào danh mục Known Exploited Vulnerabilities (KEV). Bằng chứng cho thấy lỗ hổng này đang bị khai thác tích cực. Việc này buộc các cơ quan thuộc nhánh hành pháp liên bang (FCEB) phải ưu tiên khắc phục theo Chỉ thị Liên kết 26-04 (BOD 26-04).
Lỗ hổng này thường được các đối tượng tấn công sử dụng và gây rủi ro lớn cho hệ thống. BOD 26-04 yêu cầu các cơ quan FCEB ưu tiên vá các lỗ hổng rủi ro cao, đặc biệt là các CVE trong danh mục KEV, trên các tài sản công khai có thể bị kiểm soát hoàn toàn sau khi khai thác. Các lỗ hổng rủi ro thấp hơn có thể được xử lý sau.
CISA khuyến khích tất cả tổ chức áp dụng quản lý lỗ hổng dựa trên rủi ro và ưu tiên khắc phục các lỗ hổng trong danh mục KEV. Bạn có thể đề xuất thêm lỗ hổng vào danh mục KEV thông qua CISA’s KEV Nomination Form. Yêu cầu là phải có CVE ID, bằng chứng khai thác và hướng dẫn khắc phục rõ ràng.
Câu hỏi thường gặp
KEV Catalog là gì?
KEV Catalog là danh mục các lỗ hổng đã được biết đến đang bị khai thác tích cực, do CISA quản lý. Mục đích là giúp các tổ chức ưu tiên khắc phục các lỗ hổng rủi ro cao nhất.
BOD 26-04 áp dụng cho ai?
BOD 26-04 áp dụng cho các cơ quan thuộc nhánh hành pháp liên bang (FCEB) của Hoa Kỳ. Tuy nhiên, CISA khuyến khích tất cả các tổ chức tuân thủ các nguyên tắc của chỉ thị này.
Làm thế nào để đề xuất thêm lỗ hổng vào KEV Catalog?
Bạn có thể đề xuất thêm lỗ hổng thông qua CISA’s KEV Nomination Form. Yêu cầu là phải có CVE ID, bằng chứng khai thác và hướng dẫn khắc phục.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA đưa lỗ hổng Apple vào danh mục KEV cho thấy mức độ nghiêm trọng của vấn đề. Các doanh nghiệp Việt Nam sử dụng sản phẩm Apple nên kiểm tra và vá lỗi ngay lập tức. Điều đáng chú ý là BOD 26-04 chỉ áp dụng cho các cơ quan liên bang Mỹ, nhưng việc tuân thủ các tiêu chuẩn bảo mật tương tự vẫn là một thực hành tốt cho mọi tổ chức.