Los errores de Ivanti y Veeam son atacados

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) advierte sobre un par de fallas activamente dirigidas a su catálogo de seguridad.

El organismo de control de ciberseguridad del gobierno de EE. UU. dijo que CVE-2023-38035 y CVE-2023-2752 estaban siendo explotados activamente.

CVE-2023-38035 describe una vulnerabilidad de omisión de autenticación en MobileIron Security que en versiones anteriores a la 9.18.0 hace que el software no realice correctamente las comprobaciones de seguridad. Como resultado, los atacantes pueden acceder a las API y emitir comandos que normalmente deberían limitarse a cuentas de administrador.

"Cuando los controles de acceso se aplican incorrectamente, los usuarios pueden acceder a datos o realizar acciones que no se les debería permitir realizar", dijo Ivanti sobre la vulnerabilidad.

"Esto puede provocar una amplia gama de problemas, incluida la exposición de información, denegación de servicio y ejecución de código arbitrario".

Ivanti señala que el riesgo de ataque se puede mitigar limitando el acceso desde el portal 8433 y dice que si el puerto comúnmente utilizado para el acceso a MICS (servicios de configuración de MobileIron) no está habilitado, no hay riesgo de ataque.

"Si bien el problema tiene una puntuación CVSS alta, existe un bajo riesgo de explotación para los clientes que no exponen el puerto 8443 a Internet", dijo Ivanti.

Mientras tanto, los administradores que operan Veeam Backup & Replication harían mejor en actualizar su software para mitigar una vulnerabilidad de elusión de seguridad CVE-2023-27532.

Se dice que el problema surge de una falla que permite a un atacante eludir las comprobaciones de autenticación.

"[la vulnerabilidad] permite obtener credenciales cifradas almacenadas en la base de datos de configuración. Esto puede llevar a obtener acceso a los hosts de la infraestructura de respaldo".

Actualizar Veeam a la versión 12 (compilación 12.0.0.1420 P20230223) o 11a (compilación 11.0.1.1261 P20230227) solucionará la vulnerabilidad.

CISA no proporcionó detalles sobre la naturaleza de los ataques, pero dijo que las agencias federales harían bien en probar e instalar ambas actualizaciones lo antes posible.

Si bien CISA no tiene autoridad más allá de las agencias gubernamentales de EE. UU., la administración tiene un peso inmenso tanto con el Departamento de Seguridad Nacional como con las industrias privadas que colaboran con el DHS y CISA en proyectos del gobierno de EE. UU.

Como resultado, las empresas privadas también tienden a seguir las directivas de CISA como mejor práctica.

"Aunque BOD 22-01 sólo se aplica a las agencias FCEB, CISA insta encarecidamente a todas las organizaciones a reducir su exposición a los ataques cibernéticos priorizando la corrección oportuna de las vulnerabilidades del catálogo como parte de su práctica de gestión de vulnerabilidades", dice CISA.