Nové zranitelnosti v katalogu CISA KEV – vydání 18a

Premium novinky Date: 24. duben 2026 Zobrazení: 6

Nové zranitelnosti v katalogu CISA KEV – vydání 18

Americká agentura CISA přidala do svého katalogu aktivně zneužívaných zranitelností (KEV) čtyři nové položky. Týkají se routerů D-Link, serveru Samsung MagicINFO 9 a softwaru pro vzdálenou podporu SimpleHelp.

První přírůstek je CVE-2025-29635, command injection v routerech D-Link DIR-823X. Zranitelnost umožňuje autentizovanému útočníkovi spouštět libovolné příkazy odesláním POST požadavku na koncový bod /goform/set_prohibiting. Postižený produkt je podle výrobce v režimu end-of-life a end-of-service, oprava nebude vydána. CISA doporučuje produkt z provozu vyřadit. Zranitelnost spadá pod CWE-77 (improper neutralization of special elements used in a command).

Druhá položka, CVE-2024-7399, je path traversal v Samsung MagicINFO 9 Server. Tento systém pro správu digital signage umožňuje útočníkovi zapsat libovolné soubory s oprávněním systémové autority, čímž otevírá cestu ke kompletnímu kompromitování serveru. Zranitelnost spadá pod CWE-22 a CWE-434 (unrestricted upload of file with dangerous type). Záplata je k dispozici prostřednictvím standardního aktualizačního mechanismu Samsung; přehled vydaných oprav je na security.samsungtv.com/securityUpdates. Správci by měli ověřit verzi a aplikovat nejnovější bezpečnostní update.

Třetí a čtvrtá položka se týkají softwaru SimpleHelp, používaného pro vzdálenou IT podporu. CVE-2024-57728 je další path traversal: administrátoři mohou nahrát ZIP soubor zkonstruovaný technikou „zip slip" a zapsat soubory kamkoli na souborový systém serveru, což vede ke spuštění libovolného kódu pod uživatelem, který provozuje SimpleHelp server. CVE-2024-57726 je doplňková chyba autorizace – technici s nízkými oprávněními mohou vygenerovat API klíče s nadměrnými právy a postupně se vyšplhat až na roli serverového administrátora. Obě zranitelnosti se týkají SimpleHelp verzí 5.5.7 a starších, oprava je v novějších verzích; podrobnosti uvádí dokument simple-help.com/kb---security-vulnerabilities-01-2025. Provozovatelé by měli aktualizovat ihned, případně dočasně omezit síťovou dostupnost serveru.

Pro správce odpovídající za bezpečnost evropských kritických infrastruktur platí, že položky v katalogu KEV představují potvrzené aktivní zneužívání ve světě. Přestože CISA cílí lhůty na federální úřady USA, evropské subjekty NIS2 by měly tyto zranitelnosti řešit s podobnou prioritou – zveřejnění v KEV je signál, že útočníci je už používají. Pro všechny čtyři položky je termín CISA stanoven na 8. května 2026.