- CISA agrega tres nuevos errores a KEV: dos en MiCollab de Mitel y uno en Oracle WebLogic Server
- Los errores permitieron a los delincuentes leer archivos confidenciales y apoderarse de puntos finales vulnerables.
- Las agencias federales tienen hasta finales de enero de 2025 para implementar la solución
La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado tres nuevas fallas a su Catálogo de vulnerabilidades explotables (KEV), lo que indica abuso en la naturaleza y otorga a las agencias federales una fecha límite para arreglar las cosas.
Dos de los tres fallos se encuentran en la plataforma de comunicaciones unificadas MiCollab de Mitel. Una es una vulnerabilidad crítica de cruce de carril, rastreada como CVE-2024-41713.
Al explotar este error, los actores de amenazas pueden realizar acciones de administración y acceder a información de usuario y de red.
Plazo de corrección
“La explotación exitosa de esta vulnerabilidad podría permitir que un atacante obtenga acceso no autorizado, con posibles impactos en la confidencialidad, integridad y disponibilidad del sistema. Esta vulnerabilidad puede explotarse sin autenticación”, dijo MiCollab.
“Si la vulnerabilidad se explota con éxito, un atacante podría obtener acceso no autenticado a información de entrega de datos, incluida información de red y de usuario no confidencial, y realizar operaciones administrativas no autorizadas en el servidor MiCollab”.
El segundo error se rastrea como CVE-2024-55550, otra vulnerabilidad de recorrido de ruta que otorga privilegios de administrador. Sin embargo, el impacto de este error es limitado porque no permite que los actores de amenazas escale privilegios ni acceda a archivos con información confidencial. Por lo tanto, la gravedad de este error se asignó a “media”: 4.4/10.
El tercer error está en Oracle WebLogic Server y se rastrea como CVE-2020-2883. Fue parcheado en abril de 2020, lo que brinda a los actores de amenazas la capacidad de acceder de forma remota a puntos finales vulnerables.
Ahora que se han agregado las tres vulnerabilidades a KEV, las agencias federales tienen hasta el 28 de enero para aplicar las correcciones o dejar de usar los productos por completo. 8. “Este tipo de vulnerabilidades son vectores de ataque frecuentes para actores cibernéticos maliciosos y plantean riesgos importantes para las empresas federales”, dijo CISA.
MiCollab de Mitel es una popular plataforma de comunicaciones unificadas y, como tal, un objetivo principal para los ciberdelincuentes. A principios de diciembre de este año, la compañía parchó una vulnerabilidad de día cero de tres meses de antigüedad que permitía a los delincuentes leer archivos confidenciales.
a través de pitidocomputadora
