Serverët SharePoint të Microsoft janë në shënjestër të sulmeve për shkak të një cënueshmërie të madhe sigurie
Hakerët kanë shfrytëzuar dobësitë në softuerin SharePoint të Microsoft, duke vënë në rrezik dhjetëra mijëra servera lokalë të përdorur nga bizneset dhe agjencitë globale. Microsoft lëshoi një alarm të shtunën duke zbuluar se ishte në dijeni të “sulmeve aktive” dhe se po punonte për të rregulluar shfrytëzimin zero-day.
Studiuesit në Eye Security identifikuan për herë të parë dobësinë më 18 korrik, e cila u lejon hakerëve të hyjnë në disa versione lokale të SharePoint dhe të vjedhin çelësa që mund t’i lejojnë ata të imitojnë përdoruesit ose shërbimet edhe pasi serveri të riniset ose të përditësohet. Kjo do të thotë që serverët që tashmë janë kompromentuar mund të jenë ende një rrezik për bizneset, por versionet cloud të SharePoint nuk janë të prekshëm ndaj shfrytëzimit dhe nuk preken.
Hakerët mund ta përdorin shfrytëzimin zero-day për të vjedhur të dhëna të ndjeshme, për të mbledhur fjalëkalime dhe për të lëvizur nëpër rrjetin e shkelur përmes shërbimeve që shpesh janë të lidhura me SharePoint, duke përfshirë Outlook, Teams dhe OneDrive. Shfrytëzimi duket se ka origjinën nga një kombinim i dy gabimeve që u prezantuan në konkursin e hakerimit Pwn2Own në maj, duke lejuar akses të paautorizuar në serverat e SharePoint.
Microsoft ka publikuar patch-e për të “mbrojtur plotësisht” serverat SharePoint 2019 dhe SharePoint Subscription Edition, dhe kompania po punon në mënyrë aktive në një patch për SharePoint 2016.
Agjencia Amerikane e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) thotë se fushëveprimi dhe ndikimi i sulmeve janë ende duke u vlerësuar dhe se çdo server që është prekur nga shfrytëzimi duhet të shkëputet nga interneti derisa të jetë në dispozicion një zgjidhje zyrtare. Shfrytëzimi është përdorur për të sulmuar agjencitë federale dhe shtetërore të SHBA-së, universitetet, kompanitë e energjisë dhe një kompani aziatike telekomunikacioni, raportoi Washington Post, duke cituar zyrtarë shtetërorë dhe studiues privatë.