A CISA adicionou esta semana três falhas de segurança ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com base em evidências de exploração ativa.

As falhas afetam o Mitel MiVoice Connect que podem permitir que um invasor autenticado com acesso à rede interna execute código arbitrário.

Os detalhes exatos sobre a natureza dos ataques não são claros, mas outra falha no MiVoice Connect foi explorada no ano passado para implantar ransomware.

As vulnerabilidades foram corrigidas pela Mitel em outubro de 2022. A CISA, em um desenvolvimento relacionado, também lançou um comunicado de Sistemas de Controle Industrial (ICS) que aborda falhas críticas (CVE-2022-26377 e CVE-2022-31813) no MELSOFT iQ AppPortal da Mitsubishi Electric.

“A exploração bem-sucedida dessas vulnerabilidades pode permitir que um invasor mal-intencionado cause impactos não identificados, como desvio de autenticação, divulgação de informações, negação de serviço ou desvio de autenticação de endereço IP”, disse a agência.