Underc0de

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha actualizado su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) con tres nuevas amenazas que están siendo explotadas activamente en entornos reales. Las vulnerabilidades afectan a tecnologías ampliamente implementadas como AMI MegaRAC, enrutadores D-Link DIR-859 y Fortinet FortiOS, lo que pone en riesgo la integridad de múltiples redes empresariales y gubernamentales.

Estas fallas de seguridad representan distintos vectores de ataque que van desde la omisión de autenticación hasta la exposición de claves criptográficas, con consecuencias que incluyen la ejecución remota de código, la escalada de privilegios y el descifrado de datos sensibles.

Lista de vulnerabilidades añadidas al catálogo KEV

CVE-2024-54085 (CVSS: 10,0) – AMI MegaRAC SPx

Esta es una vulnerabilidad crítica de omisión de autenticación en la interfaz de host Redfish de AMI MegaRAC SPx. Fue revelada por la firma de seguridad de firmware Eclypsium y permite a un atacante remoto tomar el control completo del dispositivo sin necesidad de credenciales válidas.

Una explotación exitosa puede habilitar acciones como:

• Manipulación del firmware del dispositivo
• Instalación de malware persistente
• Acceso total al sistema de gestión remota

Eclypsium advierte que esta vulnerabilidad tiene un alcance considerable en infraestructuras empresariales y de centros de datos. Aunque no se han divulgado detalles específicos sobre su uso en la naturaleza, su inclusión en el catálogo KEV implica evidencia confirmada de explotación activa.

CVE-2024-0769 (CVSS: 5,3) – D-Link DIR-859

Esta vulnerabilidad de cruce de rutas afecta a los enrutadores D-Link DIR-859 y permite la escalada de privilegios, exponiendo información sensible de los usuarios del dispositivo. Fue identificada en campañas maliciosas reveladas por GreyNoise, donde atacantes lograron extraer:

• Nombres de cuentas
• Contraseñas
• Grupos de usuarios
• Descripciones asociadas

Un aspecto crítico de esta falla es que el D-Link DIR-859 se encuentra fuera de soporte desde diciembre de 2020, por lo que no existe un parche disponible. Se recomienda encarecidamente retirar y reemplazar estos dispositivos lo antes posible, ya que seguir utilizándolos representa una amenaza significativa.

CVE-2019-6693 (CVSS: 4,2) – Fortinet FortiOS, FortiManager y FortiAnalyzer

Este CVE corresponde a una clave criptográfica codificada de forma rígida, utilizada para cifrar datos de contraseñas dentro de la configuración de CLI en Fortinet FortiOS, FortiManager y FortiAnalyzer.

Un atacante que obtenga acceso a la configuración o al archivo de copia de seguridad del sistema puede:

• Descifrar contraseñas y datos confidenciales
• Acceder a credenciales privilegiadas
• Ampliar su acceso dentro de una red comprometida

Diversos reportes han vinculado esta vulnerabilidad con campañas del ransomware Akira, que la han aprovechado para lograr el acceso inicial a redes corporativas.

Implicaciones para las organizaciones gubernamentales y privadas

Dada la gravedad y explotación activa de estas vulnerabilidades, CISA ha emitido una orden de mitigación obligatoria para todas las agencias del Poder Ejecutivo Civil Federal (FCEB). Las entidades afectadas deberán aplicar las medidas correctivas correspondientes antes del 16 de julio de 2025, incluyendo:

• Aplicación de parches y actualizaciones de firmware donde estén disponibles.
• Retiro de dispositivos no soportados como el D-Link DIR-859.
• Auditoría de configuraciones en Fortinet para prevenir el uso de claves cifradas preestablecidas.

Recomendaciones generales de mitigación

Para minimizar el impacto de estas vulnerabilidades, se aconseja a las organizaciones:

• Actualizar todos los dispositivos vulnerables a versiones parcheadas si están disponibles.
• Reemplazar hardware obsoleto o sin soporte, como los enrutadores D-Link afectados.
• Monitorear el tráfico de red y los registros de eventos en busca de comportamientos anómalos.
• Aplicar segmentación de red para limitar el acceso lateral en caso de una intrusión.
• Utilizar soluciones de detección y respuesta a nivel de endpoint (EDR) para detectar explotación en tiempo real.

En fin, la incorporación de estas tres vulnerabilidades al catálogo KEV de CISA refleja su alto nivel de riesgo y la confirmación de que ya están siendo utilizadas por actores maliciosos. La combinación de una vulnerabilidad crítica sin autenticación, un router obsoleto sin parches y un defecto criptográfico en una solución de seguridad de red hace que esta alerta sea de gran importancia para equipos de TI y ciberseguridad.

La acción rápida, especialmente en entornos donde se utilizan AMI MegaRAC, Fortinet FortiOS o dispositivos D-Link DIR-859, es esencial para proteger los activos digitales frente a amenazas actuales.

Fuente: https://thehackernews.com/