Un an plus tard, CISA réalise que la vulnérabilité démystifiée n’est en fait qu’une arnaque et la supprime de la liste des correctif

Une vulnérabilité de sécurité auparavant ajoutée au catalogue de vulnérabilités connues exploitées de CISA (KEV), qui a été reconnue par les autorités d’attribution de CVE, et incluse dans des rapports de menace fiables, est maintenant formellement rejetée par les organisations de l’infosec. CISA a retiré CVE-2022-28958 de son KEV le 1er décembre, deux jours après que la base de données nationale de vulnérabilités (NVD) ait annulé son statut de « vulnérabilité » suite à une revue de plusieurs mois. Le « problème » était censé être une grave faille d’exécution de code à distance (RCE) touchant un routeur obsolète de D-Link (DIR-816L), portant une note de sévérité presque maximale de 9,8. Il n’avait en fait aucun impact sur les systèmes qu’il visait. Le CTO de VulnCheck, Jacob Baines, l’a qualifié de « vulnérabilité fausse » en décembre 2022, deux mois après que CISA l’ait ajoutée au KEV, après avoir examiné le code de preuve de concept (PoC) fourni par le rapporteur original. Baines a constaté que le code PoC comportait « une erreur flagrante » selon laquelle il envoyait la requête malveillante à une mauvaise destination, ce qui signifie que la vulnérabilité n’avait pas l’impact RCE précédemment soupçonné.