A Agência de Cibersegurança e Infraestrutura dos EUA (CISA) adicionou cinco falhas ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), entre as quais está uma falha de execução remota de código (RCE) que afeta o Apache HugeGraph-Server.
A falha, registrada como
CVE-2024-27348
e classificada como crítica (pontuação CVSS v3.1: 9.8), é uma vulnerabilidade de controle de acesso inadequado que afeta as versões do HugeGraph-Server de 1.0.0 até, mas não incluindo, 1.3.0.
O Apache corrigiu a vulnerabilidade em 22 de abril de 2024, com o lançamento da versão 1.3.0.
Além de atualizar para a última versão, os usuários também foram recomendados a usar o Java 11 e ativar o sistema Auth.
Além disso, foi proposto habilitar a função "Whitelist-IP/porta" para melhorar a segurança da execução da API RESTful, que estava envolvida em potenciais cadeias de ataque.
Agora, a CISA alertou que a exploração ativa do
CVE-2024-27348
foi observada in situ, dando às agências federais e outras organizações de infraestrutura crítica até 9 de outubro de 2024, para aplicar medidas de mitigação ou descontinuar o uso do produto.
O Apache HugeGraph-Server é o componente central do projeto Apache HugeGraph, um banco de dados de grafos de código aberto projetado para manipular dados de grafos em larga escala com alto desempenho e escalabilidade, apoiando operações complexas necessárias em exploração de relações profundas, agrupamentos de dados e buscas de caminhos.
O produto é utilizado, entre outros, por provedores de telecomunicações para detecção de fraude e análise de rede, serviços financeiros para controle de risco e análise de padrões de transação, e redes sociais para análise de conexões e sistemas automatizados de recomendação.
Com a exploração ativa em curso e o produto utilizado em ambientes empresariais de alto valor, aplicar as atualizações e medidas de segurança disponíveis o mais rápido possível é urgente.
As outras quatro falhas adicionadas ao KEV desta vez são:
CVE-2020-0618
: Vulnerabilidade de Execução Remota de Código nos Serviços de Relatórios do Microsoft SQL Server
CVE-2019-1069
: Vulnerabilidade de Escalação de Privilégios no Agendador de Tarefas do Microsoft Windows
CVE-2022-21445
: Vulnerabilidade de Execução Remota de Código no Oracle JDeveloper
CVE-2020-14644
: Vulnerabilidade de Execução Remota de Código no Oracle WebLogic Server
A inclusão dessas vulnerabilidades mais antigas não é uma indicação de exploração recente, mas serve para enriquecer o catálogo KEV, documentando falhas de segurança que foram confirmadas como tendo sido usadas em ataques em algum momento no passado.
Publicidade
A Dola é uma IA que funciona diretamente no WhatsApp ou Telegram, permitindo que você gerencie sua agenda — seja do Google Calendar ou do iPhone — de forma simples e intuitiva, mandando mensagens de texto, áudio ou até imagens.
Com a Dola, você recebe lembretes inteligentes, ligações na hora dos compromissos, resumo diário da sua agenda, pode fazer perguntas a qualquer momento e até receber, todos os dias, a previsão do tempo.
Perfeita para quem busca mais organização, foco e produtividade no dia a dia.
E o melhor: é gratuito! Experimente agora.
Saiba mais...