Este lunes, la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) ha publicado un informe detallando la detección de ocho nuevas fallas de seguridad en su Catálogo de Vulnerabilidades Explotadas Conocidas, algunas de las cuales podrían haber sido explotadas de forma activa en las últimas semanas.
Según la Agencia, estos son potenciales vectores de ataque, muy atractivos para los actores de amenazas en todo el mundo y los gobiernos del mundo deberían impulsar a las agencias públicas y entidades privadas para abordar estos problemas. Debido a que residen en soluciones de múltiples fabricantes, las fallas podrían ser explotadas en toda clase de entornos y por actores de amenazas de cualquier nivel y experiencia.
A continuación se presenta una breve descripción de las fallas reportadas, junto con su correspondiente clave de seguridad CVE:
- CVE-2022-22587: Error de corrupción de memoria en Apple IOMobileFrameBuffer
- CVE-2021-20038: Vulnerabilidad de desbordamiento de búfer basado en pila de dispositivos SonicWall SMA 100
- CVE-2014-7169: Error de ejecución de código arbitrario de GNU Bourne-Again Shell
- CVE-2014-6271: Vulnerabilidad de ejecución de código arbitrario de GNU Bourne-Again Shell
- CVE-2020-0787: Administración incorrecta de privilegios en Windows Background Intelligent Transfer Service (BITS)
- CVE-2014-1776: Error use-after-free en Microsoft Internet Explorer
- CVE-2020-5722: Inyección SQL en Grandstream Networks UCM6200 Series
- CVE-2017-5689: Vulnerabilidad de escalada de privilegios en Intel Active Management Technology (AMT), Small Business Technology (SBT) y Standard Manageability
El Catálogo fue implementado como parte de la Directiva Operativa Vinculante 22-01 como una medida para la prevención de ataques relacionados con vulnerabilidades conocidas. Esta directiva exige a las agencias del gobierno federal abordar las vulnerabilidades identificadas antes de una fecha límite a fin de proteger las redes gubernamentales contra las amenazas de ciberseguridad.
CISA recomienda tanto a organizaciones públicas y privadas minimizar el riesgo de ataque relacionado con estas fallas, incluyendo la implementación de parches de seguridad y aplicación de medidas de seguridad adicionales dependiendo el producto o software vulnerable.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.