Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 1 Marzo 2023 08:35
Il “Known Exploited Vulnerabilities Catalog” (Catalogo delle vulnerabilità note sfruttate) degli Stati Uniti è un database gestito dall’agenzia federale US Cybersecurity and Infrastructure Security Agency (CISA) che contiene informazioni su vulnerabilità note e sfruttate in sistemi informatici e software.
Il catalogo raccoglie informazioni su vulnerabilità che sono state oggetto di attacchi informatici confermati o sospettati, o che sono state utilizzate in precedenza in attacchi noti. Le informazioni sulle vulnerabilità raccolte nel catalogo possono essere utilizzate per identificare potenziali punti deboli nei sistemi informatici e nel software, e per sviluppare strategie di mitigazione dei rischi.
Il Catalogo delle vulnerabilità note sfruttate degli Stati Uniti è disponibile per il pubblico e può essere utilizzato da professionisti della sicurezza informatica, sviluppatori di software, amministratori di sistema e altri operatori del settore per mantenere i propri sistemi al sicuro.
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Nella giornata di ieri, la US Cybersecurity & Infrastructure Security Agency (CISA) ha aggiunto la CVE-2022-36537 al suo “Known Exploited Vulnerabilities Catalog” dopo che gli attori delle minacce hanno iniziato a sfruttare attivamente il difetto di esecuzione di codice remoto (RCE) negli attacchi.
Il CVE-2022-36537 è un difetto di gravità elevata (CVSS v3.1: 7.5) che influisce sulle versioni 9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 e 8.6.4.1 di ZK Framework, consentendo agli aggressori di accedere a informazioni sensibili inviando una richiesta POST appositamente predisposta al componente AuUploader.
“I servlet ZK Framework AuUploader contengono una vulnerabilità non specificata che potrebbe consentire a un utente malintenzionato di recuperare il contenuto di un file situato nel contesto web”
menziona la descrizione della falla di CISA .
Il difetto è stato scoperto l’anno scorso da Markus Wulftange e risolto da ZK il 05 maggio 2022, con la versione 9.6.2.
ZK è un framework di app Web Ajax open source scritto in Java, che consente agli sviluppatori Web di creare interfacce utente grafiche per applicazioni Web con il minimo sforzo e conoscenza di programmazione. Il framework ZK è ampiamente utilizzato in progetti di ogni tipo e dimensione, quindi l’impatto del difetto è diffuso e di vasta portata.
Il servlet AuUploader viene utilizzato per gestire l’upload di file all’interno di un’applicazione web ZK. Il componente AuUploader consente agli utenti di selezionare uno o più file dal proprio dispositivo e di caricarli su un server web. Il servlet gestisce il trasferimento dei file dal client al server e la loro memorizzazione sul server.
Il componente AuUploader fornisce anche funzionalità di validazione dei file, consentendo agli sviluppatori di specificare i tipi di file accettabili e le dimensioni massime dei file che possono essere caricati.
CISA ha fissato la scadenza per applicare gli aggiornamenti di sicurezza disponibili al 20 marzo 2023, concedendo alle agenzie federali circa tre settimane per rispondere al rischio per la sicurezza e intraprendere azioni adeguate per proteggere le proprie reti.
RedazioneOgni mese diventa sempre più evidente: le password non funzionano più. Gli hacker hanno imparato a eludere anche la protezione a due fattori sfruttando sessioni rubate e milioni di dati comp...
La pseudonimizzazione è una tecnica di protezione dei dati definita dall’art. 4(5) del GDPR. Consiste nella trasformazione dei dati personali in modo tale che non possano più essere a...
Una telefonata da un numero italiano. Una voce registrata che informa circa la ricezione del curriculm vitae e invita a salvare il numero e scrivere su WhatsApp per parlare di un’offerta di lav...
In un’era dominata dalla tecnologia, dove ogni click, ogni dato, ogni interazione digitale è un potenziale campo di battaglia, la cybersecurity è lo scudo digitale, la fortezza immate...
La scorsa settimana, un threat actors di nome ‘rose87168’ ha affermato di aver violato i server Oracle Cloud e di aver iniziato a vendere i presunti dati di autenticazione e le password ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
