CISA thêm ownCloud, Linux Kernel và JFrog Artifactory vào KEV ngày 27/08/2026

CISA cho biết ba mục được thêm dựa trên bằng chứng khai thác thực tế:

CVE · Sản phẩm · Mô tả CISA

CVE-2023-49105 · ownCloud · Improper Authentication

CVE-2026-53362 · Linux Kernel · Unspecified Vulnerability trong thông báo KEV

CVE-2026-66384 · JFrog Artifactory · Improper Limitation of a Pathname to a Restricted Directory

NetVali kiểm tra nguồn lúc 05:50 ngày 28/08/2026 (UTC+7). CISA KEV xác nhận ưu tiên theo exploitation evidence; affected version và remediation phải lấy từ ownCloud, Linux distribution/kernel advisory và JFrog tương ứng.

CVE-2023-49105 không phải CVE mới: NVD và ownCloud liên hệ vấn đề với ownCloud Server trước 10.13.1 trong điều kiện liên quan pre-signed URL/signing key. Việc lỗi 2023 được thêm KEV năm 2026 cho thấy backlog legacy vẫn có giá trị tấn công.

CVE-2026-53362 nằm trong IPv6 networking của Linux kernel. NVD mô tả lỗi đã được kernel xử lý ở đường __ip6_append_data(); Red Hat mô tả sai tính toán độ dài có thể dẫn tới ghi đè kernel memory khi attacker có quyền tạo UDP socket. Đội vận hành phải dùng advisory của distribution vì kernel package thường backport bản sửa.

JFrog mô tả CVE-2026-66384: người dùng đã xác thực có thể ghi dữ liệu ngoài Docker cache path dự kiến dưới một số điều kiện remote repository. Trang security advisory của JFrog liệt kê các nhánh phiên bản liên quan; cần đối chiếu trực tiếp mapping branch/build trước khi chốt version nâng cấp.

ownCloud cần inventory Internet exposure, server version, user/config liên quan, reverse proxy và storage. Linux cần inventory host, VM, container host, appliance và kernel package đang chạy thực tế, không chỉ image đã cài trên disk. JFrog cần inventory Artifactory node, version/branch, remote Docker repository và tài khoản có quyền.

Software supply chain làm tăng blast radius vận hành: Artifactory phục vụ build/deploy, nên update cần kiểm tra pull/push, remote cache, checksum, replication và CI/CD continuity. Kernel update cần reboot/live-patch behavior theo distribution; ownCloud update cần kiểm tra WebDAV/share/link và data integrity.

Sau remediation, thu version/config evidence và smoke test benign. Nếu telemetry cho thấy dấu hiệu bất thường trước khi vá, mở incident review riêng; nâng cấp không xóa nhu cầu điều tra.

Ưu tiên trước cho asset Internet-facing, repository có quyền ghi/phân phối rộng và kernel host chứa workload quan trọng. Nhưng CVE local/kernel không nên bị bỏ qua: attacker có foothold thấp có thể dùng lỗ hổng để mở rộng quyền tùy precondition.

• Chủ hệ thống ownCloud và đội quản trị file collaboration.
• Linux/platform team, Kubernetes/container host owner và appliance owner.
• DevSecOps, CI/CD và đội quản trị JFrog Artifactory.
• Vulnerability management cần mapping package/component thay vì chỉ hostname.
• SOC cần hunting dựa trên log/telemetry hiện có và thời gian phơi nhiễm.
• Đội change/release cần lên rollback và service validation.

CISA không công bố trong alert phạm vi chiến dịch, số nạn nhân hoặc IOC dùng chung. Việc một asset chạy sản phẩm liên quan không chứng minh nó bị ảnh hưởng hoặc bị xâm nhập; cần version/config/precondition và forensic evidence.

Không suy diễn CVE-2026-53362 là remote exploit nếu nguồn distribution mô tả yêu cầu local capability. Không coi mọi remote Docker repository của JFrog đều có cùng điều kiện ảnh hưởng. Không coi ownCloud 10.13.1 là bản nên triển khai hiện nay nếu đã có release mới hơn; hãy theo supported upgrade path.

Scanner có thể sai với kernel backport hoặc container image. Lệnh version đơn lẻ cũng có thể sai nếu node HA/cluster không đồng nhất. Bằng chứng cần phủ toàn bộ instance đang phục vụ.

• [ ] Thêm ba CVE vào tracker, gắn owner và due date theo nguồn hiện hành.
• [ ] Tìm ownCloud instance, version, exposure và cấu hình share/WebDAV.
• [ ] Tìm kernel đang chạy trên host/container host/appliance; map advisory distribution.
• [ ] Tìm Artifactory node, branch/build, remote Docker repo và quyền tài khoản.
• [ ] Đọc advisory hãng tại thời điểm thay đổi; không dùng bản tóm tắt làm version source.
• [ ] Sao lưu config/data cần thiết và chuẩn bị rollback.
• [ ] Nâng cấp theo supported path; xác minh mọi node HA/cluster.
• [ ] Chạy smoke test WebDAV/file, kernel/network/workload và artifact pull/push/cache.
• [ ] Kiểm tra log/telemetry trong cửa sổ phơi nhiễm; tách incident nếu có dấu hiệu.
• [ ] Lưu pre/post version, ticket, test ID, timestamp và exception có phê duyệt.

Pha inventory hợp nhất CMDB, scanner, package/SBOM và service discovery. Pha exposure/precondition xác định đường truy cập, quyền cần thiết và cấu hình. Pha remediation triển khai canary rồi cluster. Pha validation kiểm tra service correctness, HA và regression; pha evidence đóng disposition từng asset.

Hệ thống · Smoke test chính · Bằng chứng

ownCloud · login, WebDAV, share, file integrity · version + request/log

Linux · boot/kernel active, IPv6 workload, app health · running kernel + test

Artifactory · push/pull, remote cache, checksum, CI job · build + repository log

Pass khi mỗi asset có disposition và bằng chứng phù hợp. “Scanner sạch” không thay service test; “service xanh” không thay xác nhận version/build.

• KEV: Danh mục CISA có bằng chứng khai thác thực tế.
• Backport: Đưa bản sửa vào package branch cũ mà version có thể không giống upstream.
• Running kernel: Kernel thực đang chạy, có thể khác package vừa cài nếu chưa reboot.
• Path traversal: Vượt khỏi thư mục/path dự kiến do kiểm soát pathname không đầy đủ.
• Precondition: Điều kiện quyền/cấu hình cần cho lỗ hổng ảnh hưởng.
• Disposition: Trạng thái xử lý có bằng chứng cho từng asset.
• Software supply chain: Chuỗi build, lưu trữ và phân phối artifact/phần mềm.