A Agência de Segurança Cibernética e de Infraestrutura dos EUA (CISA) colocou, no último dia 23/01, uma falha de segurança já corrigida, que afeta a popular biblioteca jQuery JavaScript em seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), com base em evidências de exploração ativa.
A vulnerabilidade de gravidade média é CVE-2020-11023 (pontuação CVSS: 6.1/6.9), um bug de script entre sites (XSS) de quase cinco anos que pode ser explorado para obter a execução de código arbitrário. Ele consite em passar HTML contendo elementos <option> de fontes não confiáveis – mesmo depois de higienizá-los – para um dos métodos de manipulação DOM do jQuery (ou seja, .html(), .append() e outros) podendo executar código não confiável, de acordo com um aviso do GitHub divulgado para a falha.
O problema foi corrigido na versão 3.5.0 do jQuery lançada em abril de 2020. Uma solução alternativa para o CVE-2020-11023 envolve usar o DOMPurify com o sinalizador SAFE_FOR_JQUERY definido para higienizar a string HTML antes de passá-la para um método jQuery. O comunicado da CISA é bem enxuto em detalhes sobre a natureza específica da exploração e a identidade dos agentes de ameaças que usam a falha como arma. Também não há relatórios públicos recentes relacionados a ataques que alavancam a falha em questão.
Porém, há relatos de que a vulnerabilidade foi explorada por agentes de ameaças como APT1 (também conhecido como Brown Fox e Comment Panda) e APT27 (também conhecido como Brown Worm e Emissary Panda), de acordo com relatórios da Health-ISAC e Tenable.
A empresa de segurança holandesa EclecticIQ também revelou em fevereiro de 2024 que os endereços de comando e controle (C2) associados a uma campanha maliciosa explorando falhas de segurança em dispositivos Ivanti executaram uma versão do JQuery que era suscetível a pelo menos uma das três falhas (CVE-2020-11023, CVE-2020-11022 e CVE-2019-11358).
De acordo com a Binding Operational Directive (BOD) 22-01, as agências do Poder Executivo Civil Federal (FCEB) são recomendadas a remediar a falha identificada até 13 de fevereiro de 2025, para proteger suas redes contra ameaças ativas.
Para saber mais, clique aqui.