آژانس امنیت سایبری و زیرساخت‌های آمریکا (CISA) افشا کرد که مهاجمان سال گذشته پس از سوءاستفاده از یک نمونه وصله‌نشده GeoServer، به شبکه یکی از آژانس‌های اجرایی غیرنظامی دولت فدرال آمریکا نفوذ کردند. این آسیب‌پذیری امنیتی (CVE-2024-36401) یک نقص بحرانی اجرای کد از راه دور (RCE) است که در ۱۸ ژوئن ۲۰۲۴ وصله شد، اما CISA آن را تقریباً یک ماه بعد به فهرست آسیب‌پذیری‌های فعالانه مورد سوءاستفاده قرار گرفته اضافه کرد.
مهاجمان پس از دستیابی به سرور GeoServer آژانس فدرال در ۹ ژوئیه ۲۰۲۴، به صورت جانبی در شبکه حرکت کردند و یک وب‌سرور و سرور SQL را نیز در معرض خطر قرار دادند. آن‌ها وب‌شل‌هایی مانند China Chopper و اسکریپت‌هایی برای دسترسی از راه دور، تداوم حضور، اجرای دستورات و افزایش سطح دسترسی آپلود کردند. مهاجمان به مدت سه هفته بدون تشخیص باقی ماندند تا اینکه ابزار تشخیص و پاسخ نقطه پایانی (EDR) آژانس در ۳۱ ژوئیه ۲۰۲۴ مرکز عملیات امنیتی (SOC) را از نفوذ آگاه کرد. CISA اکنون از مدافعان شبکه می‌خواهد تا وصله‌کردن آسیب‌پذیری‌های بحرانی را تسریع کنند و مراکز عملیات امنیتی خود را برای نظارت مداوم بر هشدارهای EDR تقویت کنند.
کلمات کلیدی : آسیب‌پذیری امنیتی, GeoServer, نفوذ سایبری, CISA, وب‌شل, مرکز عملیات امنیتی
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.