5 fallos que ya se están explotando, y 4 tienen más de cinco años
Por Inteligencia QuantumSec · Píldoras de inteligencia · 1 min de lectura
Generada con 0data a partir de lo que ingiere cada día.
Del 5 al 11 de octubre, la agencia de ciberseguridad de Estados Unidos (CISA) añadió 5 vulnerabilidades a su catálogo KEV, la lista de fallos de los que tiene constancia de explotación real. No son teóricas: alguien las está usando ya. Es un 47,4 % por debajo de una semana normal (la mediana de las ocho anteriores es 9,5).
5 vulnerabilidades explotadas añadidas al catálogo KEV esta semana (-47,4 % frente a una semana normal)
10 ago: 3 · 17 ago: 9 · 24 ago: 11 · 31 ago: 10 · 7 sep: 14 · 14 sep: 7 · 21 sep: 12 · 28 sep: 6 · 5 oct: 5
- 1.748
- fallos en el catálogo KEV (semana anterior: 6 altas)
- 4
- con más de cinco años
La lista de la semana
| CVE | Fabricante y producto | Qué permite | Alta |
|---|---|---|---|
| CVE-2015-5477 | ISC BIND | Ver la ficha del fallo | 8 de octubre |
| CVE-2016-3081 | Apache Struts | Inyección de comandos | 8 de octubre |
| CVE-2023-22894 | Strapi | Datos sensibles sin cifrar | 8 de octubre |
| CVE-2021-3199 | ONLYOFFICE Docs | Lectura o escritura de ficheros fuera de su carpeta | 8 de octubre |
| CVE-2015-3306 | ProFTPD | Control de acceso defectuoso | 8 de octubre |
- Otro tipo de fallo: 20.0 %
- Inyección de comandos: 20.0 %
- Datos sensibles sin cifrar: 20.0 %
- Lectura o escritura de ficheros fuera de su carpeta: 20.0 %
- Control de acceso defectuoso: 20.0 %
Qué permiten los fallos de esta semana
Lo viejo también se explota. 4 de las 5 tienen más de cinco años. El parche existe desde hace mucho; lo que falta es aplicarlo. Un fallo antiguo en el catálogo suele significar que alguien ha encontrado una forma barata de sacarle partido a escala.
Qué hacer hoy
- Cruzad la lista con vuestro inventario
Fabricantes de esta semana: ISC, Apache, Strapi, ONLYOFFICE y 1 más. Si no sabéis en diez minutos si tenéis alguno, el primer problema es el inventario, no el parche. - Primero lo que da a internet
Ordenad por exposición: lo accesible desde fuera, antes que lo interno. - Si hoy no podéis parchear, mitigad y vigilad
Aplicad la mitigación del fabricante, restringid el acceso por IP y revisad los registros desde la fecha de alta: si la explotación es pública, conviene asumir que ya lo han probado.
Cómo lo medimos. Ventana: del 5 al 11 de octubre (semana cerrada, hora UTC). Se cuentan las vulnerabilidades por su fecha de alta en el catálogo. «Exploit público» significa que consta una prueba de concepto publicada; que no conste no quiere decir que no exista. El plazo que fija CISA obliga a su administración federal, no a empresas españolas, pero es una buena vara. Las cifras las cuenta 0data, nuestra plataforma de datos, directamente sobre lo ingerido; ninguna está estimada. Así está hecha por dentro.
Hecho con 0data. La plataforma · Cómo está hecha por dentro · Todas las píldoras
Servicio relacionado
Temas de este artículo
#Parchea-esto-el-lunes #CISA-KEV #Vulnerabilidades #Gestión-de-parches #ISC #Apache #Strapi