La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) incluyó el lunes tres fallos de seguridad en su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), citando pruebas de explotación activa.

Las vulnerabilidades añadidas son las siguientes

• CVE-2023-48788 (puntuación CVSS: 9,3) - Vulnerabilidad de inyección SQL en Fortinet FortiClient EMS
• CVE-2021-44529 (puntuación CVSS: 9,8) - Vulnerabilidad de inyección de código en Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA)
• CVE-2019-7256 (CVSS score: 10.0) - Vulnerabilidad de inyección de comandos en el sistema operativo Nice Linear eMerge E3-Series

La falla que afecta a Fortinet FortiClient EMS salió a la luz a principios de este mes, con la compañía describiéndola como una falla que podría permitir a un atacante no autenticado ejecutar código o comandos no autorizados a través de solicitudes específicamente diseñadas.

Desde entonces, Fortinet ha revisado su aviso para confirmar que ha sido explotada in the wild, aunque actualmente no se dispone de más detalles sobre la naturaleza de los ataques.

CVE-2021-44529, por su parte, se refiere a una vulnerabilidad de inyección de código en Ivanti Endpoint Manager Cloud Service Appliance (EPM CSA) que permite a un usuario no autenticado ejecutar código malicioso con permisos limitados.

Una investigación reciente publicada por el investigador de seguridad Ron Bowes indica que el fallo puede haber sido introducido como una puerta trasera intencionada en un proyecto de código abierto ahora discontinuado llamado csrf-magic que existía al menos desde 2014.

CVE-2019-7256, que permite a un atacante llevar a cabo la ejecución remota de código en los controladores de acceso Nice Linear eMerge E3-Series, ha sido explotado por actores de amenazas ya en febrero de 2020.

Nice (anteriormente Nortek) solucionó este fallo, junto con otros 11, a principios de este mes. Dicho esto, estas vulnerabilidades fueron reveladas originalmente por el investigador de seguridad Gjoko Krstic en mayo de 2019.

A la luz de la explotación activa de los tres fallos, las agencias federales están obligadas a aplicar las mitigaciones proporcionadas por los proveedores antes del 15 de abril de 2024.

La noticia llega cuando CISA y la Oficina Federal de Investigación (FBI) publicaron una alerta conjunta, instando a los fabricantes de software a tomar medidas para mitigar los fallos de inyección SQL.

El aviso destacaba específicamente la explotación de CVE-2023-34362, una vulnerabilidad crítica de inyección SQL en MOVEit Transfer de Progress Software, por parte de la banda de ransomware Cl0p (alias Lace Tempest) para vulnerar miles de organizaciones.

"A pesar del amplio conocimiento y documentación de las vulnerabilidades SQLi en las últimas dos décadas, junto con la disponibilidad de mitigaciones eficaces, los fabricantes de software continúan desarrollando productos con este defecto, lo que pone en riesgo a muchos clientes", dijeron las agencias.

Fuente: thehackernews