La compañía de seguridad Trend Micro descubrió recientemente un fallo crítico en el protocolo de intercambio de archivos del software de código abierto Samba. La vulnerabilidad se localizó durante la celebración del evento Pwn2Own, de modo que tras su detección se pudo trabajar con los desarrolladores para parchear y dar a conocer el problema. Su elevada puntuación, 9.9, obliga a las organizaciones que hacen uso de Samba a implementar los parches cuanto antes.
Menos suerte hubo con Apache Log4j en diciembre, la librería de código abierto más popular de Java, dado que no se supo del fallo hasta que comenzaron a registrarse amenazas. Fue una clara muestra de lo que se conoce como “vulnerabilidad zero-day”, un tipo de ataque que ha batido su récord en 2021 y doblado la cifra registrada en 2020. En el caso de Apache Log4j, y aunque las actualizaciones ya se pusieron a disposición de empresas y servicios, se desconoce la repercusión que ha podido llegar a tener. Incluso se la llegó a calificar de ciberpandemia por su extraordinaria facilidad de contagio.
Son éstos dos de los ejemplos más recientes aunque, como decimos, las vulnerabilidades forman parte intrínseca de los entornos digitales, obligados a una continua evolución que refuerce sus prestaciones. Desde Bit Life Media hacemos un repaso a nueve de las vulnerabilidades críticas más destacadas de los últimos años y te animamos a permanecer al tanto de los avisos de seguridad y de las correcciones disponibles. El adecuado funcionamiento de tu negocio depende de ello.
Apache Struts – 2017
Un nuevo exploit apareció en Apache Struts en agosto de 2017 poniendo en riesgo a miles de servidores. Se trata de una herramienta de soporte de aplicaciones web basadas en Java, popularmente utilizada y cuya vulnerabilidad se consideró crítica porque el ciberatacante podía ejecutar órdenes remotas sobre un servidor.
Microsoft Office – 2018
Kaspersky Lab detectó a comienzos del año 2018 campañas masivas de exploits dirigidas a Microsoft Office. Este tipo de vulnerabilidades críticas se explotan habitualmente a través de la manida estrategia del phishing, comprometiendo a los usuarios con archivos adjuntos maliciosos.
Software SOHO de Cisco – 2019
Una vulnerabilidad crítica que afectó al software de Cisco abrió la puerta a los ataques remotos para explotar dispositivos sin necesidad de autenticación. Pequeñas empresas que empleaban el software SOHO fueron las principales perjudicadas. Además, tras conocerse los fallos de seguridad y ante la falta de parches, los afectados se vieron obligados a recurrir a otras estrategias para protegerse de posibles ataques.
Firefox 2019
En junio de 2019 la Oficina de Seguridad del Internauta (OSI) se hacía eco de un problema crítico detectado en dicho navegador, afectando a todos los usuarios de cualquier versión de escritorio. Tras visitar una página maliciosa creada para explotar esta vulnerabilidad, los atacantes podían hacerse con el control total del dispositivo en cuestión. Al tiempo que saltaba la alerta, Firefox ya había puesto a disposición un parche de seguridad para aplicar de manera automática.
Windows 10 y Windows Server 2019 – Marzo de 2020
En marzo de 2020 saltaban las alarmas con una vulnerabilidad crítica en Windows 10 y en Windows Server 2019 que amenazaba con ejecutar cualquier tipo de código en servidores y equipos de trabajo. Microsoft, entonces, no tenía parche ni fecha para su puesta a punto. En todo caso, como veíamos anteriormente, la compañía ya nos tiene acostumbrados tanto a sus fallos como a sus actualizaciones periódicas. Hace poco más de un mes parcheó más de 120 vulnerabilidades en Windows 10 y 11, Windows Server 2019 y 2022, Exchange Server, Office y el navegador Edge desde el inicio de 2022, nueve de ellas con clasificación crítica.
vBulletin Forums – mayo de 2020
Este software empleado para gestionar foros online también sufrió una vulnerabilidad crítica que puso en jaque a más de 100.000 portales de internet. No trascendieron detalles sobre los aspectos críticos del fallo, algo que dificultó la labor de muchos sitios web para aplicar soluciones que impidieran la filtración de información.
Fortinet – abril de 2021
El aumento del teletrabajo llevó aparejado el incremento en el uso de VPN para garantizar que las conexiones fueran seguras fuera de las oficinas. Fortinet FortiOS ofrece ese servicio. Las vulnerabilidades críticas detectadas en su VPN durante la primavera de 2021 fueron aprovechadas por grupos APT, que escanearon los puertos 4443, 8443 y 10443 buscando versiones Fortinet desactualizadas. Estos grupos llevan a cabo ataques distribuidos de Denegación de Servicio, ransomware, defacement…
Moodle – enero de 2022
El aviso sobre la plataforma de formación Moodle se hizo público a través del sitio web del Instituto Nacional de Ciberseguridad (INCIBE) el pasado 24 de enero. Varias versiones se vieron afectadas por fallos de seguridad que podrían permitir los ataques de falsificación de peticiones en sitios cruzados. La última versión de Moodle está disponible aquí.
Chrome – enero 2022
Chrome tampoco se libra. Los recursos afectados a principios de año fueron las versiones anteriores a la 97.0.4692.71. Para solucionarlo, Google publicó una actualización con treinta y siete correcciones de seguridad, una de ellas de severidad crítica.
Estar al tanto de las alertas y de los parches disponibles puede marcar la diferencia, pues en la mayoría de los casos una actualización a tiempo es la mejor prevención. Casi el 50% de los españoles las pospone sin tener en cuenta el riesgo que esto supone para su privacidad y el buen funcionamiento de los equipos. La búsqueda continua de vulnerabilidades, especialmente las vulnerabilidades críticas por parte de los fabricantes y su imprescindible corrección requiere, pues, de nuestra colaboración, no dejando para mañana lo que hoy se puede convertir en un serio riesgo.
