La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA, por sus siglas en inglés) ha incluido recientemente una vulnerabilidad crítica en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Esta vulnerabilidad afecta a los productos de Acceso Remoto Privilegiado (PRA) y Soporte Remoto (RS) de BeyondTrust, respaldada por evidencias de explotación activa.
Detalles de la Vulnerabilidad CVE-2024-12356
La falla, identificada como CVE-2024-12356, tiene una puntuación CVSS de 9.8, lo que la clasifica como crítica. Se trata de una vulnerabilidad de inyección de comandos que permite a un atacante malicioso ejecutar comandos arbitrarios como usuario del sitio sin necesidad de autenticación previa.
CISA señaló: “El acceso remoto privilegiado (PRA) y el soporte remoto (RS) de BeyondTrust contienen una vulnerabilidad de inyección de comandos, que puede permitir que un atacante no autenticado inyecte comandos que se ejecutan como un usuario del sitio”.
Recomendaciones de Seguridad
Aunque BeyondTrust ha abordado el problema en las instancias en la nube de sus clientes, se insta a los usuarios de versiones autoalojadas a actualizar sus sistemas a las versiones parcheadas. Las versiones recomendadas son las siguientes:
Acceso Remoto Privilegiado (PRA):
- Versiones 24.3.1 y anteriores: aplicar los parches PRA BT24-10-ONPREM1 o BT24-10-ONPREM2.
Soporte Remoto (RS):
- Versiones 24.3.1 y anteriores: aplicar los parches RS BT24-10-ONPREM1 o BT24-10-ONPREM2.
La aplicación oportuna de estas actualizaciones es esencial para mitigar riesgos potenciales y prevenir accesos no autorizados.
Ataque Reciente y Nuevas Vulnerabilidades
La inclusión de esta vulnerabilidad en el catálogo KEV llega tras el anuncio de BeyondTrust sobre un ataque cibernético sufrido a principios de este mes. Este ataque permitió a actores de amenazas desconocidos comprometer ciertas instancias SaaS de soporte remoto.
Según la compañía, los atacantes accedieron a una clave API SaaS que les permitió restablecer contraseñas de cuentas de aplicaciones locales. BeyondTrust ha trabajado con una firma forense y de ciberseguridad de terceros para investigar el incidente.
Descubrimiento de la CVE-2024-12686
Durante esta investigación, también se identificó una vulnerabilidad de gravedad media, rastreada como CVE-2024-12686, con una puntuación CVSS de 6.6. Esta falla podría permitir a un atacante con privilegios administrativos existentes inyectar comandos y ejecutarlos como un usuario del sitio.
Para mitigar esta nueva vulnerabilidad, BeyondTrust ha lanzado los siguientes parches:
Acceso Remoto Privilegiado (PRA):
- Parches BT24-11-ONPREM1 a BT24-11-ONPREM7 (según la versión de PRA).
Soporte Remoto (RS):
- Parches BT24-11-ONPREM1 a BT24-11-ONPREM7 (según la versión de RS).
Comunicación con Clientes y Estado Actual
BeyondTrust ha confirmado que todos los clientes afectados han sido notificados de las vulnerabilidades. Sin embargo, la escala exacta de los ataques y las identidades de los actores de amenazas aún no se han revelado.
Por otro lado, la compañía no ha informado que alguna de estas vulnerabilidades adicionales esté siendo explotada activamente en la naturaleza. Mientras tanto, The Hacker News está en comunicación con BeyondTrust para obtener más información y proporcionar actualizaciones en caso de recibir una respuesta.
Importancia de la Actualización Continua
Las vulnerabilidades en sistemas críticos como los de BeyondTrust resaltan la importancia de mantener actualizados todos los entornos digitales. La aplicación rápida de parches y la supervisión constante de los sistemas son fundamentales para proteger las infraestructuras de TI de las organizaciones.
En conclusión, la seguridad cibernética es un esfuerzo continuo que requiere la colaboración entre fabricantes, organizaciones y usuarios finales. En este caso, BeyondTrust ha tomado medidas proactivas para abordar las vulnerabilidades y minimizar los riesgos asociados. Los administradores de TI deben priorizar las actualizaciones recomendadas para garantizar la protección de sus sistemas y la continuidad de sus operaciones.
Fuente: The Hacker News
