En 2023 se revelaron 26.447 vulnerabilidades, superando el número total del año anterior en más de 1.500 CVE. A pesar de la gran cantidad, un pequeño subconjunto (menos del uno por ciento) contribuyó al mayor riesgo y fue explotado rutinariamente.
Conclusiones clave
- Menos del uno por ciento de las vulnerabilidades contribuyeron al mayor riesgo y fueron explotadas rutinariamente en la naturaleza.
- 97 vulnerabilidades de alto riesgo, probablemente explotadas, no formaban parte del catálogo de vulnerabilidades conocidas explotadas (KEV) de CISA.
- El 25 por ciento de estas vulnerabilidades fueron inmediatamente objeto de explotación, y el exploit se publicó el mismo día en que la vulnerabilidad en sí se reveló públicamente.
- 1/3 de las vulnerabilidades de alto riesgo afectaron a dispositivos de red y aplicaciones web.
- La explotación de servicios remotos, la explotación de aplicaciones públicas y la explotación para escalar privilegios son las tres principales tácticas de MITRE ATT&CK.
El tiempo medio para explotar las vulnerabilidades en 2023 fue de 44 días. Sin embargo, en numerosos casos, las vulnerabilidades tenían un exploit disponible el mismo día de su publicación. El veinticinco por ciento de las CVE de alto riesgo se explotaron el día de la publicación.
Vulnerabilidades de alto riesgo y actores de amenazas
Más del 50 por ciento de las vulnerabilidades de alto riesgo fueron aprovechadas por actores de amenazas, ransomware o malware para comprometer los sistemas. De las 206 vulnerabilidades identificadas:
- 115 explotados por actores de amenazas nombrados.
- 20 explotados por ransomware.
- 15 explotados por malware y botnets.
Las vulnerabilidades identificadas abarcan un amplio conjunto de sistemas y aplicaciones, incluidos PaperCut NG, MOVEit Transfer, varios sistemas operativos Windows, Google Chrome, Atlassian Confluence y Apache ActiveMQ. Muchas de estas vulnerabilidades, como las que se encuentran en MOVEit Transfer, Windows SmartScreen y Google Chrome, se pueden explotar de forma remota.
Tácticas y técnicas de MITRE ATT&CK
Las 206 vulnerabilidades del conjunto de datos se utilizaron como armas, lo que ofrece una visión clara de las tácticas empleadas por los ciberadversarios. Las principales técnicas incluyen:
- Explotación de servicios remotos (T1210 y T0866): este es el método observado con más frecuencia, con 72 ocurrencias en entornos empresariales y 24 en sistemas de control industrial (ICS).
- Explotación de aplicaciones públicas (T1190 y T0819): esta técnica, que ocurre 53 veces en dominios empresariales y 19 veces en ICS, se dirige a aplicaciones accesibles desde Internet.
- Explotación para escalada de privilegios (T1068): Esta técnica, mencionada 20 veces, implica que los atacantes exploten vulnerabilidades para obtener mayores privilegios dentro de un sistema.
Otras tácticas incluyen: explotación para ejecución de cliente (T1203), escalada de privilegios en dispositivos móviles (T1404), explotación de aplicaciones/sistemas (T1499.004), servicios remotos externos (T1133), compromiso de paso (T1189), escalada de privilegios en ICS (T0890), enlace malicioso (T1204.001) y explotación de Servicios Remotos en Móvil (T1428).
Amenazas más activas
Este año, ciertas vulnerabilidades destacaron como las más explotadas. Éstas incluyen:
- CVE-2023-0669
- CVE-2023-20887
- CVE-2023-22952
- CVE-2023-23397
- CVE-2023-24880
- CVE-2023-27350
- CVE-2023-28252
- CVE-2023-2868
- CVE-2023-29059
- CVE-2023-34362