La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha incluido cinco nuevas vulnerabilidades en su Catálogo de vulnerabilidades explotadas conocidas, basado en evidencia de explotación activa. Estas vulnerabilidades representan vectores de ataque comunes para actores maliciosos y pueden causar riesgos significativos a las organizaciones, especialmente a las agencias federales de rama ejecutiva civil (FCEB).
Las vulnerabilidades añadidas son:
-
CVE-2023-20118: Esta vulnerabilidad se refiere a una inyección de comandos en los enrutadores de la serie Cisco Small Business RV. Se trata de un fallo que permite a un atacante enviar comandos no autorizados a través de la interfaz afectada, lo que puede comprometer la seguridad de la red.
-
CVE-2022-43939: Relativa a la autorización en el servidor de Hitachi Vantara Pentaho Business Analytics, esta vulnerabilidad permite un acceso inadecuado a recursos de datos sensibles. Los atacantes pueden explotar esta debilidad para obtener permisos que no les corresponderían.
-
CVE-2022-43769: También de Hitachi Vantara Pentaho Business Analytics, esta vulnerabilidad implica la inyección de elementos especiales. El fallo permite la inyección maliciosa de datos en la aplicación, lo que podría derivar en la manipulación del comportamiento del sistema.
-
CVE-2018-8639: Esta vulnerabilidad de Microsoft Windows Win32k se relaciona con la gestión inadecuada de recursos y puede permitir a un atacante ejecutar código arbitrario en el sistema afectado. Su impacto puede ser significativo, dado que se trata de un componente central del sistema operativo Windows.
- CVE-2024-4885: Esta vulnerabilidad de Progress WhatsUp Gold implica una vulnerabilidad transversal, lo que oscurece la capacidad de un atacante para acceder a información o recursos que no deberían estar disponibles debido a restricciones establecidas.
La Directiva Operativa Vinculante (BOD) 22-01 establece un marco para mitigar el riesgo significativo de estas vulnerabilidades. Este BOD fue diseñado para crear un catálogo de vulnerabilidades explotadas conocidas que constituyan un riesgo considerable para las instituciones gubernamentales. Según este documento, las agencias FCEB deben remediar las vulnerabilidades identificadas antes de un plazo determinado, a fin de proteger sus redes de amenazas activas.
Es importante señalar que, aunque BOD 22-01 se aplica directamente a las agencias de FCEB, CISA también recomienda a todas las organizaciones, sin distinción, que prioricen la reducción de su exposición a los ataques cibernéticos. Esto se debe a que todas las entidades pueden ser blanco de ataques maliciosos, y una gestión oportuna de las vulnerabilidades puede reducir significativamente el riesgo de incidentes cibernéticos.
CISA tiene planes de seguir actualizando el catálogo con nuevas vulnerabilidades que cumplan con criterios específicos, lo que permitirá a las organizaciones mantenerse al día con las amenazas emergentes en el ámbito cibernético. La agencia enfatiza la importancia de adoptar prácticas efectivas de gestión de vulnerabilidades, lo cual incluye identificar, evaluar y remediar de manera proactiva las debilidades en los sistemas.
En resumen, la inclusión de estas cinco vulnerabilidades en el catálogo subraya la importancia de la ciberseguridad y la necesidad de que las organizaciones actúen rápidamente para garantizar la protección de sus infraestructuras tecnológicas. En el clima actual, donde las amenazas cibernéticas son constantes y evolucionan rápidamente, la atención y la acción proactiva son clave para mantener la seguridad de las redes y la información crítica.