CISA, junto con la NSA, FBI, ACSC (Australia), CCCS (Canadá), NCSC-NZ y NCSC-UK, publicó un aviso que detalla las vulnerabilidades más comúnmente explotadas por actores malintencionados en el año 2022. El documento, identificado como aa23-215a, enumera las vulnerabilidades y exposiciones comunes (CVE) que se han explotado de manera rutinaria durante ese periodo, así como las enumeraciones de debilidades comunes (CWE) asociadas.
Según el aviso, los actores maliciosos en 2022 prefirieron explotar vulnerabilidades de software más antiguas que las recientemente reveladas. Estas vulnerabilidades se dirigieron principalmente a sistemas orientados a Internet sin parches. El código de prueba de concepto (PoC) suele estar disponible públicamente para muchas de estas vulnerabilidades, lo que facilita su explotación por parte de una gama más amplia de actores.
Los actores tienden a tener mayor éxito al explotar las vulnerabilidades conocidas dentro de los primeros dos años tras su divulgación pública. El valor de estas vulnerabilidades disminuye gradualmente a medida que el software se parchea o actualiza. La aplicación oportuna de parches reduce la efectividad de las vulnerabilidades conocidas y explotables, lo que posiblemente disminuya el ritmo de las operaciones de los actores maliciosos y obligue a buscar métodos más costosos y lentos, como el desarrollo de exploits Zero-Day o la realización de operaciones en la cadena de suministro de software.
Vulnerabilidades más explotadas
- Una vulnerabilidad en Fortinet (CVE-2018-13379).
- Tres vulnerabilidades en Exchange (CVE-2021-34473, CVE-2021-31207, CVE-2021-34523).
- Una vulnerabilidad de ejecución remota de código en productos de Microsoft (CVE-2022-30190).
- Un fallo en ManageEngine de Zoho (CVE-2021-40539).
- Dos vulnerabilidades en Confluence de Atlassian (CVE-2021-26084, CVE-2022-26134).
- La vulnerabilidad en Log4J2 (CVE-2021-44228).
- Dos vulnerabilidades en VMWare One (CVE-2022-22954, CVE-2022-22960).
- Una falla de autenticación en F5 (CVE-2022-1388).
Recomendaciones
Las agencias recomiendan encarecidamente a los proveedores, diseñadores, desarrolladores y organizaciones de usuarios finales que implementen las recomendaciones y mitigaciones para reducir el riesgo de compromiso por parte de actores malintencionados.
- Proveedores, diseñadores y desarrolladores: implementar principios y tácticas de seguridad por diseño y predeterminadas para reducir la prevalencia de vulnerabilidades en el software.
- Respetar el marco Secure Software Development Framework (SSDF), también conocido como SP 800-218, e implementar prácticas de diseño seguro en cada etapa del ciclo de vida de desarrollo de software (SDLC). Establecer un programa coordinado de divulgación de vulnerabilidades que incluya procesos para determinar las causas fundamentales de las vulnerabilidades descubiertas.
- Priorizar las configuraciones seguras por defecto, como eliminar las contraseñas predeterminadas o requerir cambios de configuración adicionales para mejorar la seguridad del producto.
- Asegurarse que los CVE publicados incluyan el campo CWE adecuado para identificar la causa raíz de la vulnerabilidad.
- Aplicar parches oportunos a los sistemas. Primero se debe verificar que no haya signos de compromiso en sistemas que no se han parcheado.
- Implementar un sistema centralizado de gestión de parches.
- Utilizar herramientas de seguridad, como EDR, firewalls de aplicaciones web y analizadores de protocolos de red.
- Pedir a sus proveedores de software que hablen sobre su programa de seguridad y que proporcionen enlaces a información sobre cómo están trabajando para eliminar sus vulnerabilidades y establecer configuraciones predeterminadas seguras.