La Agencia de Ciberseguridad e Infraestructuras de EE.UU. (CISA) ha añadido cinco fallos a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), entre los que se encuentra un fallo de ejecución remota de código (RCE) que afecta a Apache HugeGraph-Server.
El fallo, rastreado como CVE-2024-27348 y calificado como crítico (puntuación CVSS v3.1: 9,8), es una vulnerabilidad de control de acceso incorrecto que afecta a las versiones de HugeGraph-Server desde la 1.0.0 hasta la 1.3.0 inclusive.
Apache corrigió la vulnerabilidad el 22 de abril de 2024, con el lanzamiento de la versión 1.3.0. Además de actualizar a la última versión, también se recomendó a los usuarios que utilizaran Java 11 y habilitaran el sistema Auth.
También se propuso habilitar la función "Whitelist-IP/port" para mejorar la seguridad de la ejecución RESTful-API, implicada en potenciales cadenas de ataque.
Ahora, CISA ha advertido que se ha observado explotación activa de CVE-2024-27348 in the wild, dando a las agencias federales y otras organizaciones de infraestructuras críticas hasta el 9 de octubre de 2024 para aplicar mitigaciones o discontinuar el uso del producto.
Apache HugeGraph-Server es el componente central del proyecto Apache HugeGraph, una base de datos de grafos de código abierto diseñada para manejar datos de grafos a gran escala con alto rendimiento y escalabilidad, soportando operaciones complejas requeridas en la explotación de relaciones profundas, agrupación de datos y búsquedas de rutas.
El producto es utilizado, entre otros, por proveedores de telecomunicaciones para la detección de fraudes y el análisis de grafos, servicios financieros para el control de riesgos y el análisis de patrones de transacciones, y redes sociales para el análisis de conexiones y sistemas de recomendación automatizados.
Con la explotación activa en curso y el producto utilizado en entornos empresariales aparentemente de alto valor, la aplicación de las actualizaciones de seguridad disponibles y mitigaciones tan pronto como sea posible es exigente.
Los otros cuatro fallos añadidos a KEV en esta ocasión son:
- CVE-2020-0618: Vulnerabilidad de ejecución remota de código en Microsoft SQL Server Reporting Services.
- CVE-2019-1069: Vulnerabilidad de escalada de privilegios en el programador de tareas de Microsoft Windows.
- CVE-2022-21445: Vulnerabilidad de ejecución remota de código de Oracle JDeveloper.
?
- CVE-2020-14644: Vulnerabilidad de ejecución remota de código en Oracle WebLogic Server.
La inclusión de estas vulnerabilidades más antiguas no es un indicio de explotación reciente, sino que sirve para enriquecer el catálogo KEV documentando fallos de seguridad que se ha confirmado que han sido utilizados en ataques en algún momento del pasado.
Fuente: bleepingcomputer