تستغل الجهات التهديدية – سواء المدعومة من الدولة أو ذات الدوافع المالية – بشكل متزايد نقاط الضعف غير المعروفة سابقًا، أو أيام صفر، لتسوية ضحاياهم قبل أن توفر صناعة التكنولوجيا الإصلاحات أو التصحيحات، وفقًا لاستشارة جديدة نشرتها وكالات الإنترنت Five Eyes، بما في ذلك المملكة المتحدة المركز الوطني للأمن السيبراني (NCSC) والولايات المتحدة وكالة الأمن السيبراني وأمن البنية التحتية (سيسا).
وقد وضعت الوكالات بشكل جماعي قائمة بأكثر 15 نقطة ضعف استغلالًا في عام 2023، ووجدت أن غالبية الثغرات المستغلة كانت صفر يوم مقارنة بأقل من النصف في عام 2022. وقال المركز الوطني للأمن الإلكتروني إن هذا الاتجاه استمر حتى عام 2024.
قال NCSC إن المدافعين بحاجة إلى تحسين مستواهم عندما يتعلق الأمر بإدارة الثغرات الأمنية، مع إيلاء اهتمام خاص لتطبيق التحديثات في أسرع وقت ممكن عند وصولهم، والتأكد من أنهم حددوا جميع أصول تكنولوجيا المعلومات التي يحتمل أن تتأثر في عقاراتهم.
كما حثت المنظمة الموردين والمطورين على بذل المزيد من الجهد لتنفيذ مبادئ التصميم الآمن في منتجاتهم، وهو الأمر الذي أصبحت حكومات العيون الخمس – أستراليا وكندا ونيوزيلندا والمملكة المتحدة والولايات المتحدة – تتحدث عنه بصوت عالٍ بشكل خاص في العالم. الـ 18 شهرًا الماضية. يساعد القيام بذلك على تقليل مخاطر ظهور الثغرات الأمنية عن طريق الخطأ أثناء التطوير، ليتم الاستفادة منها لاحقًا.
قال أولي وايتهاوس، كبير مسؤولي التكنولوجيا في NCSC: “يمثل الاستغلال الأولي الروتيني لثغرات يوم الصفر الوضع الطبيعي الجديد الذي يجب أن يثير قلق مؤسسات المستخدم النهائي والبائعين على حدٍ سواء، حيث تسعى الجهات الفاعلة الخبيثة إلى التسلل إلى الشبكات”.
وقال وايتهاوس: “لتقليل مخاطر التعرض للتسوية، من الضروري أن تظل جميع المؤسسات في المقدمة من خلال تطبيق التصحيحات على الفور والإصرار على منتجات آمنة التصميم في سوق التكنولوجيا”.
“إننا نحث المدافعين عن الشبكات على توخي الحذر فيما يتعلق بإدارة الثغرات الأمنية، وأن يكون لديهم وعي ظرفي في العمليات، وندعو مطوري المنتجات إلى جعل الأمان عنصرًا أساسيًا في تصميم المنتج ودورة حياته للمساعدة في القضاء على هذه اللعبة الخبيثة المتمثلة في الضرب من المصدر وأضاف.
القائمة الكاملة للثغرات الأمنية الأكثر استغلالًا خلال عام 2023 هي كما يلي:
- CVE-2023-3519، عيب في إدخال التعليمات البرمجية في Citrix NetScaler ADC وNetScaler Gateway؛
- CVE-2023-4966، ثغرة أمنية في تجاوز سعة المخزن المؤقت في Citrix NetScaler ADC وNetScaler Gateway، ويعرف أيضا باسم سيتريكس تنزف;
- CVE-2023-20198، مشكلة رفع الامتياز (EoP) في Cisco IOS XE Web UI؛
- CVE-2023-20273، خطأ في إدخال أوامر واجهة مستخدم الويب في Cisco IOS XE؛
- CVE-2023-27997، عيب تجاوز سعة المخزن المؤقت القائم على الكومة في Fortinet FortiOS وFortiProxy SSL-VPN؛
- CVE-2023-34362، ثغرة أمنية لحقن SQL في Progress MOVEit Transfer، تم استغلالها بشكل سيء السمعة من قبل عصابة Cl0p Ransomware، التداعيات التي لا تزال محسوسة;
- CVE-2023-22515، نظام تحكم في الوصول معطل vuln it Atlassian Confluence Data Center and Server؛
- CVE-2021-44228، مشكلة في تنفيذ التعليمات البرمجية عن بعد (RCE) في Apache Log4j2، المعروف أيضًا باسم Log4Shell، مصدر حادثة كبرى نهاية 2021 ولا يزال يتعرض للإيذاء على نطاق واسع بعد سنوات؛
- CVE-2023-2868، خطأ غير صحيح في التحقق من صحة الإدخال في جهاز Barracuda Networks ESG Appliance؛
- CVE-2022-47966ومشكلة RCE في Zoho ManageEngine؛
- CVE-2023-27350، ثغرة أمنية غير مناسبة للتحكم في الوصول في PaperCut MF/NG؛
- CVE-2020-1472، وهو EoP vuln في Microsoft Netlogon، مصدر آخر حادثة تاريخية رفيعة المستوى وأنه لا يوجد الآن أي عذر لعدم التحدث؛
- CVE-2023-427983، ثغرة في تجاوز المصادقة في JetBrains TeamCity؛
- CVE-2023-23397، مشكلة EoP في Microsoft Office Outlook، يستخدم على نطاق واسع من قبل الجواسيس الروس;
- و أخيراً و ليس آخراً، CVE-2023-49103، ثغرة الكشف عن المعلومات في ownCloud graphapi.
القائمة الكاملة، والتي يمكن أن تكون تحميلها من CISA، يحتوي أيضًا على تفاصيل عدد من المشكلات الأخرى التي لوحظ استغلالها بشكل روتيني خلال عام 2023، ومن أبرزها ثغرتي ضعف في منتجات Ivanti تم الكشف عنها في أغسطس 2023، والعيب سيئ السمعة Fortra GoAnywhere تم استغلالها مرة أخرى من قبل عصابة Cl0p.
