La Agencia de Seguridad de Ciberseguridad e Infraestructura de EE. UU. (CISA) agregó dos defectos de seguridad que impactaron el software de soporte de TI a su catálogo de vulnerabilidades explotadas (KEV) conocidas, basado en evidencia de explotación activa.
Las vulnerabilidades en cuestión se enumeran a continuación –
- CVE-2025-2775 (Puntuación CVSS: 9.3): una restricción incorrecta de la vulnerabilidad de narración de entidad externa XML (xxe) en la funcionalidad de procesamiento de checkin, permitiendo la adquisición de la cuenta del administrador y las primitivas de recital de archivo de archivo
- CVE-2025-2776 (Puntuación CVSS: 9.3): una restricción inadecuada de la vulnerabilidad de narración de entidad externa XML (xxe) en la funcionalidad de procesamiento de URL del servidor, lo que permite la adquisición de la cuenta del administrador y las primitivas de recital de archivos de recital
Ambas deficiencias fueron reveladas por los investigadores de Watchtowr Labs, Sina Kheirkhah y Jake Knott en mayo, yuxtapuesto con CVE-2025-2777 (CVSS Score: 9.3), un XXE preautenticado en el interior del punto final /LSHW.
Sysaid abordó las tres vulnerabilidades en la traducción recinto 24.4.60 Build 16 lanzazo a principios de marzo de 2025.
La firma de seguridad cibernética señaló que las vulnerabilidades podrían permitir a los atacantes inyectar entidades XML inseguras en la aplicación web, lo que resulta en un ataque de falsificación de solicitud (SSRF) del banda del servidor, y en algunos casos, la ejecución de código remoto cuando está encadenado con CVE-2024-36394, una defecto de inyección de comandos revelada por Cyberk en junio pasado.
Actualmente no se sabe cómo CVE-2025-2775 y CVE-2025-2776 están siendo explotados en ataques del mundo actual. Siquiera hay información habitable sobre la identidad de los actores de amenaza, sus objetivos finales o la escalera de estos esfuerzos.
Para defender contra la amenaza activa, las agencias de rama ejecutiva civil federal (FCEB) deben aplicar las soluciones necesarias antiguamente del 12 de agosto de 2025.
