449/67 (IT) ประจำวันพฤหัสบดีที่ 19 ธันวาคม 2567
หน่วยงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ได้เพิ่มช่องโหว่ Microsoft Windows Kernel-Mode Driver Untrusted Pointer Dereference ที่หมายเลข CVE-2024-35250 และ Adobe ColdFusion Improper Access Control ที่หมายเลข CVE-2024-20767 ลงในแคตตาล็อก Known Exploited Vulnerabilities (KEV) โดยรายละเอียดของช่องโหว่มีดังนี้
– CVE-2024-35250 มีคะแนน CVSS:7.8 ซึ่งเป็นช่องโหว่ Elevation of Privilege บน Windows Kernel-Mode Driver ทำให้ผู้โจมตีที่อยู่ในระบบสามารถยกระดับสิทธิ์ตัวเองขึ้นเป็น SYSTEM ได้ โดยการโจมตีมีความซับซ้อนต่ำ
– CVE-2024-20767 มีคะแนน CVSS:7.4 เป็นช่องโหว่ Improper Access Control ใน Adobe ColdFusion เวอร์ชัน 2023.6, 2021.12 และเวอร์ชันก่อนหน้า ผู้โจมตีสามารถใช้ช่องโหว่นี้ในการอ่านไฟล์โดยไม่ได้รับอนุญาต โดยการโจมตีจะเกิดขึ้นเมื่อมีการเปิดใช้งานแผงควบคุม (Admin Panel) ที่เข้าถึงได้จากภายนอก
เพื่อป้องกันและลดความเสี่ยงจากช่องโหว่เหล่านี้ หน่วยงานภายใต้การกำกับดูแลของหน่วยงานรัฐบาลกลางของสหรัฐฯ Federal Civilian Executive Branch (FCEB) จะต้องแก้ไขช่องโหว่ภายในเวลาที่กำหนด โดย CISA ได้กำหนดให้แก้ไขเสร็จสิ้นภายในวันที่ 6 มกราคม 2025 เพื่อป้องกันการถูกใช้ประโยชน์จากช่องโหว่ดังกล่าว
