Edition 21

Explorada: sim, como zero-day, antes de ter tido conhecimento. Exposta: apenas onde a interface de gestão é acessível a partir do exterior. Toca: o dispositivo que aplica o seu perímetro, ao nível de root. Veredicto: horas se essa interface responder a partir da internet, dias atrás de um jump box. E note o que a pontuação fez aqui. 8.6 é High, o que na maioria das políticas dá 30 dias, enquanto a CISA deu três às agências federais. Se a sua tabela de SLA tivesse sido o único input, teria agendado a tomada de controlo de uma firewall ativamente explorada para novembro. O controlo compensatório não tem custo e a Palo Alto recomenda-o há anos: retire a interface de gestão da internet hoje à noite e aplique o patch no seu próprio calendário depois disso.

Explorada: sim, quatro dias antes da divulgação. Exposta: qualquer sistema que sirva pedidos web via PHP, o que na maioria das organizações significa o site de marketing que ninguém gere. Toca: execução de código como conta web, no host. Veredicto: horas, e a versão honesta é que a sua janela fechou antes de a advisory existir. Dois pontos a reter para além da aplicação de patches. O Apache mod_php foi validado para execução completa de código nas configurações predefinidas; comece por aí. E se alguma parte do seu parque ainda executa PHP 8.1 ou anterior, não há correção a caminho, o que torna isto uma decisão de aceitação de risco com um nome associado, não uma tarefa de patching.

Explorada: sem relatos. Exposta: qualquer serviço que descomprima Brotli que não gerou, o que abrange mais sistemas do que pensa. Toca: o runtime sob as suas aplicações. Veredicto: dias, na sua via normal de emergência. O que complica é a distribuição. Cada contentor construído sobre uma imagem base node anterior a 21 de outubro carrega esta vulnerabilidade, pelo que a correção implica um rebuild e um redeploy em todo o parque, não uma atualização de pacote num único host. Esta versão também incluiu silenciosamente a revogação de confiança no certificado do item seguinte, o que é a prova mais clara de que o seu trust store vive dentro das suas dependências.

Explorada: sem abuso confirmado, embora ninguém possa dar conta de dezassete meses. Exposta: não os seus browsers, que foram corrigidos em horas. Toca: a confiança em si mesma, em todos os locais onde valida um certificado fora de um browser. Veredicto: este não tem prazo porque não tem patch, e é precisamente por isso que é o mais difícil. Os seus contentores, os seus appliances, os seus Java keystores e cada ambiente Python com a sua própria cópia do certifi têm cada um um trust store que alguém tem de atualizar. O Curl, o certifi, o Node.js, o Go e o ecossistema Rust publicaram todos a revogação de confiança separadamente. A questão que a sua organização tem de responder é onde confia em autoridades de certificação e quem pode alterar isso em todos os locais simultaneamente; a maioria não consegue responder à primeira metade. Um detalhe que merece reflexão: Helme afirma que um agente de IA recuperou as chaves a partir de um único prompt.

Não saiu desta semana apenas a aplicar patches. Escolheu, ou alguém escolheu por si. Por isso, registe a escolha. Um responsável identificado, o motivo, o controlo compensatório se existir e uma data para rever. Uma vulnerabilidade diferida com assinatura é uma decisão de risco. Sem ela, é uma omissão que terá de explicar mais tarde; e após oito dias como estes haverá muito a explicar. Escrevi o argumento completo, incluindo o motivo pelo qual as pontuações não decidiram nada e por que razão a maioria das políticas de patch teria classificado o vetor de ransomware como trabalho de segunda divisão. Link acima. A versão curta é que os seus scanners eram iguais aos de todos os outros esta semana. O que distinguiu as organizações foi saber quem tinha autoridade para decidir.