La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos (CISA) ha añadido recientemente cinco vulnerabilidades críticas que afectan a Cisco, Hitachi Vantara, Microsoft Windows y Progress WhatsUp Gold a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Esta decisión se basa en evidencias de explotación activa, lo que refuerza la necesidad de que las organizaciones apliquen medidas de mitigación urgentes para evitar incidentes de ciberseguridad.
Lista de vulnerabilidades recientemente añadidas
Las cinco fallas de seguridad identificadas por CISA presentan diferentes niveles de criticidad y afectan a una variedad de sistemas. A continuación, se detalla cada vulnerabilidad junto con su respectiva puntuación CVSS y descripción técnica:
1. CVE-2023-20118 (Cisco – Puntuación CVSS: 6,5)
- Tipo de vulnerabilidad: Inyección de comandos.
- Descripción: Afecta a la interfaz de administración basada en web de los routers Cisco Small Business RV Series.
- Impacto: Permite a un atacante remoto autenticado obtener privilegios de nivel raíz y acceder a datos sensibles.
- Estado de parcheo: Sin solución, ya que los routers han llegado al fin de su vida útil.
2. CVE-2022-43939 (Hitachi Vantara – Puntuación CVSS: 8,6)
- Tipo de vulnerabilidad: Omisión de autorización.
- Descripción: Afecta al servidor Hitachi Vantara Pentaho BA, permitiendo eludir restricciones de acceso debido a rutas de URL no canónicas.
- Impacto: Un atacante podría acceder a recursos protegidos sin autenticación adecuada.
- Estado de parcheo: Corregido en agosto de 2024 con las versiones 9.3.0.2 y 9.4.0.1.
3. CVE-2022-43769 (Hitachi Vantara – Puntuación CVSS: 8,8)
- Tipo de vulnerabilidad: Inyección de elementos.
- Descripción: Permite la inyección de plantillas de Spring en archivos de propiedades, lo que facilita la ejecución de comandos arbitrarios.
- Impacto: Un atacante podría tomar control total del sistema afectado.
- Estado de parcheo: Corregido en agosto de 2024 con las versiones 9.3.0.2 y 9.4.0.1.
4. CVE-2018-8639 (Microsoft Windows – Puntuación CVSS: 7,8)
- Tipo de vulnerabilidad: Liberación incorrecta de recursos.
- Descripción: Afecta a Win32k en Microsoft Windows, permitiendo una escalada de privilegios autenticados locales.
- Impacto: Posibilita la ejecución de código arbitrario en modo kernel.
- Estado de parcheo: Corregido en diciembre de 2018, pero sigue siendo explotado.
5. CVE-2024-4885 (Progress WhatsUp Gold – Puntuación CVSS: 9,8)
- Tipo de vulnerabilidad: Cruce de rutas.
- Descripción: Permite a un atacante no autenticado lograr la ejecución remota de código (RCE).
- Impacto: Se trata de una vulnerabilidad altamente crítica, que permite comprometer sistemas sin interacción del usuario.
- Estado de parcheo: Corregido en la versión 2023.1.3 en junio de 2024.
Evidencia de explotación activa
Si bien en algunos casos hay poca información sobre el uso de estas vulnerabilidades en ataques reales, varios informes de firmas de ciberseguridad han revelado que actores maliciosos ya están explotando activamente algunas de ellas.
Ataques confirmados utilizando CVE-2023-20118
La firma de ciberseguridad Sekoia informó recientemente que cibercriminales están explotando esta vulnerabilidad en routers de Cisco para conectarlos a una botnet llamada PolarEdge. Este ataque refuerza la importancia de retirar dispositivos obsoletos o sin soporte.
CVE-2024-4885 bajo ataque desde agosto de 2024
Según la Fundación Shadowserver, los intentos de explotación de esta vulnerabilidad se han observado desde el 1 de agosto de 2024. Datos recopilados por GreyNoise indican que al menos ocho direcciones IP provenientes de Hong Kong, Rusia, Brasil, Corea del Sur y el Reino Unido han participado en estos intentos de ataque.
CVE-2018-8639: persistencia de ataques desde 2023
A pesar de haber sido corregida en 2018, esta vulnerabilidad sigue siendo explotada. En 2023, la empresa de ciberseguridad AhnLab vinculó su explotación al grupo de hackers chino Dalbit (m00nlight). Estos atacantes lograron escalar privilegios en redes de Corea del Sur al comprometer servidores SQL y desplegar web shells para mantener persistencia en los sistemas.
Recomendaciones y medidas de mitigación
Ante el riesgo de explotación activa, CISA insta a todas las agencias del Poder Ejecutivo Civil Federal (FCEB) a aplicar las mitigaciones necesarias antes del 24 de marzo de 2025. Sin embargo, estas recomendaciones también son relevantes para cualquier organización que utilice los sistemas afectados.
Medidas de seguridad recomendadas:
✔ Actualizar todos los sistemas con los parches más recientes. Si un dispositivo ha alcanzado su fin de vida útil (EOL), se recomienda su reemplazo inmediato.
✔ Implementar autenticación multifactor (MFA) para reducir el riesgo de accesos no autorizados.
✔ Supervisar el tráfico de red en busca de patrones anómalos, especialmente conexiones sospechosas con direcciones IP asociadas a ataques previos.
✔ Restringir el acceso a interfaces de administración web, evitando conexiones desde direcciones IP externas o desconocidas.
✔ Configurar reglas de firewall para bloquear direcciones IP y rangos CIDR identificados como origen de actividad maliciosa.
En fin, la inclusión de estas cinco vulnerabilidades en el Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA pone de manifiesto la creciente sofisticación de los ataques cibernéticos. La evidencia de explotación activa refuerza la urgencia de aplicar parches de seguridad y medidas de mitigación efectivas para proteger infraestructuras críticas.
Dado que actores maliciosos ya están utilizando estas vulnerabilidades para comprometer sistemas en todo el mundo, las organizaciones deben adoptar un enfoque proactivo en ciberseguridad, asegurándose de que sus sistemas estén actualizados y protegidos contra amenazas emergentes.
Fuente: The Hacker News
