هناك خطأ مخيف آخر في النظام تم تصنيفه على أنه CVE-2023-40129 على أنه حرج. وقالت جوجل: “يمكن أن تؤدي (الثغرة الأمنية) إلى تنفيذ تعليمات برمجية عن بعد دون الحاجة إلى امتيازات تنفيذ إضافية”.
التحديث متاح لسلسلة Pixel من Google وسلسلة Galaxy من Samsung، لذا إذا كان لديك جهاز Android، فتحقق من إعداداتك في أسرع وقت ممكن.
سيسكو
أصدرت شركة البرمجيات العملاقة Cisco تصحيحات لإصلاح عيبين تم استغلالهما بالفعل. تم تتبعها كـ CVE-2023-20198 وبنتيجة CVSS مذهلة تبلغ 10، الأول هو مشكلة في ميزة واجهة مستخدم الويب لبرنامج Cisco IOS XE. وقال باحثون في Cisco Talos في إحدى المدونات، إنه يؤثر على الأجهزة الفعلية والافتراضية التي تعمل ببرنامج Cisco IOS XE والتي تم تمكين ميزة HTTP أو HTTPS Server عليها أيضًا.
وحذر الباحثون من أن “الاستغلال الناجح لـ CVE-2023-20198 يسمح للمهاجم بالحصول على مستوى امتياز 15 للوصول إلى الجهاز، والذي يمكن للمهاجم استخدامه بعد ذلك لإنشاء مستخدم محلي وتسجيل الدخول باستخدام وصول المستخدم العادي”.
يمكن للمهاجم استخدام حساب المستخدم المحلي الجديد غير المصرح به لاستغلال الثغرة الأمنية الثانية، CVE-2023-20273، في مكون آخر من ميزة WebUI. وقالت Talos Intelligence، شركة الأمن السيبراني التابعة لشركة Cisco: “يسمح هذا للخصم بإدخال أوامر ذات امتيازات جذر مرتفعة، مما يمنحهم القدرة على تشغيل أوامر عشوائية على الجهاز”.
وكتبت الشركة في تقرير استشاري: “توصي شركة Cisco بشدة العملاء بتعطيل ميزة HTTP Server على جميع الأنظمة التي تواجه الإنترنت أو تقييد وصولها إلى عناوين المصدر الموثوقة”.
برنامج إم وير
قام برنامج VMWare بتصحيح اثنتين من نقاط الضعف في الكتابة والكشف عن المعلومات خارج الحدود في خادم vCenter الخاص به. الأول، الذي تم تتبعه باسم CVE-2023-34048، هو ثغرة أمنية في تنفيذ بروتوكول DCERPC والتي قد تؤدي إلى تنفيذ التعليمات البرمجية عن بعد. وقد صنف برنامج VMware الخلل على أنه حرج بتقييم أساسي لـ CVSS قدره 9.8.
في الطرف الآخر من مقياس CVSS ولكن لا يزال من الجدير بالذكر، هناك CVE-2023-34056، وهو خطأ في الكشف الجزئي عن المعلومات بدرجة 4.3. “قد يستغل ممثل خبيث يتمتع بامتيازات غير إدارية لخادم vCenter Server هذه المشكلة للوصول إلى البيانات غير المصرح بها”، كما كتب برنامج VMWare في تقرير استشاري.
سيتريكس
أصدرت شركة برمجيات المؤسسات Citrix إصلاحات عاجلة لنقاط الضعف في NetScaler ADC (المعروفة سابقًا باسم Citrix ADC) وNetScaler Gateway (المعروفة سابقًا باسم Citrix Gateway). تم تتبع الخطأ باسم CVE-2023-4966 وبنتيجة CVSS تبلغ 9.4، وقد يسمح الخطأ الأول للمهاجم بكشف معلومات حساسة.
CVE-2023-4967 هي مشكلة رفض الخدمة بدرجة CVSS تبلغ 8.2. وقالت Citrix إن عمليات استغلال CVE-2023-4966 على الأجهزة غير المخففة “لوحظت”. “تحث مجموعة Cloud Software بشدة عملاء NetScaler ADC وNetScaler Gateway على تثبيت الإصدارات المحدثة ذات الصلة من NetScaler ADC وNetScaler Gateway في أقرب وقت ممكن.”
العصارة
شهد يوم التصحيح الأمني لشهر أكتوبر من SAP إصدار سبع ملاحظات أمنية جديدة، تم تصنيفها جميعًا على أنها ذات تأثير متوسط. أسوأ عيب، تم تتبعه بالرقم CVE-2023-42474، هو ثغرة أمنية في البرمجة النصية عبر المواقع في SAP BusinessObjects Web Intelligence مع درجة CVSS تبلغ 6.8.
قالت شركة Onapsis الأمنية إنه مع تسع ملاحظات أمنية جديدة ومحدثة فقط، فإن يوم تصحيح أكتوبر الخاص بـ SAP “ينتمي إلى أهدأ السنوات الخمس الماضية”.
على الرغم من أن عدد عيوب SAP في شهر أكتوبر كان أقل بكثير من أقرانه، إلا أن المهاجمين ما زالوا موجودين، لذا يجب عليك البقاء على اطلاع دائم والحصول على التصحيح في أقرب وقت ممكن.
