CISA thêm lỗ hổng của IBM, SignalWire FreeSwitch, OpenSSH và GPUStack vào danh sách công khai

GPUStack GPUStack — Vulnerability GPUStack Xác thực Không Đúng. Đưa vào KEV ngày 2026-11-09, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và CISA “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày internet và đảm bảo tuân thủ hướng dẫn BOD 26-04 về việc cập nhật.

GPUStack: Bypass xác thực thông qua nguồn vòng lại (reverse-proxy TCP peer hoặc header X-GPUStack-Real-IP) cấp quyền truy cập quản trị không xác thực

GPUStack là một quản lý tập hợp GPU nguồn mở cho việc phục vụ mô hình AI và phân bổ instance GPU. Trước phiên bản 2.2.0, hàm get_current_user trong gpustack/api/auth.py coi nguồn yêu cầu vòng lại (loopback) là quản trị viên mặc định khi force_auth_localhost là false. Do đó, một yêu cầu từ xa có thể xuất hiện như xuất phát từ 127.0.0.1 vì client_ip_getter chấp nhận một peer vòng lại (reverse proxy) cùng máy chủ hoặ…

SignalWire FreeSwitch — Lỗ hổng Tiêm Mã Code của FreeSwitch SignalWire. Đưa vào KEV ngày 2026-11-09, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và CISA’s “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ các hướng dẫn về khắc phục lỗi của BOD 26-04.

FreeSWITCH: SIP MESSAGE inbound có thể chọn selector protocol chat api và chạy các lệnh FreeSWITCH API

FreeSWITCH là một Stack Telecom Định Vị Phần Mềm cho phép chuyển đổi số từ các chuyển đổi điện thoại độc quyền sang một triển khai phần mềm chạy trên bất kỳ thiết bị hàng hóa nào. Trước phiên bản 1.11.3, hàm sofia_presence_handle_sip_i_message() đã tách phần user của một SIP MESSAGE đến inbound trên một dấu cộng (+) và xử lý phần bên trái như một selector protocol chat. Chọn selector protocol chat api đã đạt đến s…

OpenBSD OpenSSH — Rủi ro về Mã Trả về Không Dự kiến hoặc Trạng Thái Không Dự kiến của OpenBSD OpenSSH. Đưa vào KEV ngày 2026-11-09, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và hướng dẫn về yêu cầu điều tra triage forensics của CISA (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu các biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn về cập nhật vá của BOD 26-04.

sshd trong OpenSSH trước 10.6p2 trên Linux, khi sử dụng musl libc mà không có PAM, thiếu một giải pháp xung quanh việc bỏ qua việc xác thực mật khẩu (liên quan đến việc misinterpretation của chuỗi có phải là mật khẩu hash hay không). Trong một số cấu hình tài khoản, bất kỳ mật khẩu nào từ 256 đến 1024 ký tự đều thành công. Ví dụ về nền tảng sử dụng musl libc mà không có PAM là Alpine Linux.

IBM Aspera Faspex — Lỗ hổng Sai Kiểm tra Quyền IBM Aspera Faspex. Đưa vào KEV ngày 2026-11-09, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-12. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn của nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và yêu cầu điều tra triage pháp y của CISA (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá sự phơi bày internet của mỗi tài sản và đảm bảo tuân thủ hướng dẫn khắc phục lỗi của BOD 26-04.

IBM Aspera Faspex Tránh Kiểm tra Quyền

IBM Aspera Faspex 5.0.0 đến 5.0.19 có thể cho phép người dùng đã được ủy quyền tạo tin nhắn cụ thể để vượt qua quyền hạn người dùng và giành được quyền quản trị viên đầy đủ.

Cisco BroadWorks — Cisco BroadWorks Không Kìm Kìm Đúng Đối Tượng Ngoại Vi Trong XML. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-24. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (xem URL trong Ghi chú) và CISA’s “Forensics Triage Requirements” (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Một lỗ hổng trong bộ giải mã XML của giao diện khách mở (OCI) của Cisco BroadWorks có thể cho phép một kẻ tấn công không xác thực, từ xa đọc thông tin cấu hình nhạy cảm trên hệ thống bị ảnh hưởng. Lỗ hổng này tồn tại do các mục XML không được phân tích đúng do việc giải quyết đối tượng ngoại vi được cho phép mặc định. Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi một tin nhắn XML đã tạo đến dịch vụ Open C…

Barracuda Networks Multiple Products — Lỗ hổng Tiêm lệnh hệ thống của nhiều sản phẩm Barracuda Networks. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu hóa cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra pháp y (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá sự phơi bày mạng của mỗi tài sản và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Tiêm lệnh hệ thống trong thiết bị Barracuda

Không xử lý đúng các ký tự metacharacter của shell trong trường cấu hình múi giờ của một số sản phẩm thiết bị Barracuda sử dụng mã Barracuda phổ biến cho phép người quản trị đã đăng nhập thực hiện lệnh hệ thống với quyền của người dùng root khi giá trị múi giờ được tạo công thức sau đó được xử lý.

Openwave Messaging Limited Webtop Media Transcoder — Vulnerability của Openwave Messaging Limited Webtop Media Transcoder về chuyển giao tài nguyên không đúng giữa các lĩnh vực. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-24. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn của nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và yêu cầu điều tra triage pháp y của CISA (xem URL trong phần ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không sẵn có. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.

Openwave Webtop Media Transcoder không thực thi giới hạn loại tệp đã xác định bởi quản trị viên để hạn chế các loại tệp cần được chuyển đổi. Điều này có thể cho phép người dùng đã đăng nhập xử lý và chuyển đổi các loại tài liệu không mong muốn nếu vượt qua kinh nghiệm Webmail.

Barracuda Networks Barracuda Email Security Gateway (ESG) — Lỗ Hổng Bỏ Qua Kiểm Tra Xác Thận của Barracuda Networks Email Security Gateway (ESG) Sử dụng Đường Dẫn Hoặc Kênh Thay Thế. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-13. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu Hóa Cập Nhật An ninh dựa trên Rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra triage pháp y của CISA (xem URL trong Ghi chú). Theo dõi hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không khả dụng. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá của BOD 26-04.

Lỗ Hổng Bỏ Qua Kiểm Tra Xác Thận Cho phép Khôi Phục Cấu Hình Toàn Cục trong Barracuda Email Security Gateway

Trong Barracuda Email Security Gateway phiên bản sớm hơn 9.4.0.030, có một lỗ hổng cho phép người tấn công không xác thực từ xa thực thi chức năng nhập cấu hình và khôi phục một tệp lưu trữ hợp lệ được tạo công thức, dẫn đến thay đổi không được phép đối với cấu hình toàn cục của thiết bị.

Microsoft Office — Lỗ hổng của Microsoft Office Outlook thiếu tương tác người dùng cho hành động không an toàn tiềm năng. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-24. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn của nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 về việc ưu tiên cập nhật an ninh dựa trên rủi ro (xem URL trong phần ghi chú) và hướng dẫn CISA về yêu cầu điều tra pháp y (xem URL trong phần ghi chú). Theo hướng dẫn BOD 26-04 cho các dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn về việc vá của BOD 26-04.

Lỗ hổng lừa dối của Microsoft Outlook

Giao diện người dùng của sản phẩm không cảnh báo người dùng về các hành động không an toàn trong Microsoft Office Outlook cho phép kẻ tấn công không được ủy quyền thực hiện lừa dối qua mạng.

Google Chromium — Lỗ hổng Chromium Google Sử dụng sau khi giải phóng. Đưa vào KEV ngày 2026-11-10, hạn khắc phục với cơ quan liên bang Mỹ: 2026-11-24. Yêu cầu: Áp dụng các biện pháp khắc phục theo hướng dẫn nhà sản xuất, đảm bảo tuân thủ hướng dẫn CISA BOD 26-04 Tối ưu hóa Cập nhật an ninh dựa trên rủi ro (xem URL trong Ghi chú) và yêu cầu điều tra pháp y CISA (xem URL trong Ghi chú). Theo hướng dẫn BOD 26-04 cho dịch vụ đám mây hoặc ngừng sử dụng sản phẩm nếu biện pháp khắc phục không có sẵn. Các bên liên quan có trách nhiệm đánh giá mỗi tài sản về sự phơi bày trên Internet và đảm bảo tuân thủ hướng dẫn cập nhật vá BOD 26-04.

Sử dụng sau khi giải phóng trong XML trong Google Chrome trước phiên bản 157.0.8103.50 cho phép kẻ tấn công từ xa thực thi mã/arbitrary code bên trong sandbox thông qua một trang HTML được tạo ra công khai. (Chính sách bảo mật Chromium: Cao)