Apertura · Explotación conocida
CISA añade a su lista de explotadas las fallos críticos de Collabora Online y Arista VeloCloud Orchestrator, un viernes, cómo no
Un servidor de documentos y un orquestador SD-WAN figuran ya oficialmente como objetivos de ataques, algo que los atacantes ya sabían, porque eran ellos quienes los perpetraban.
El viernes CISA añadió dos vulnerabilidades a su catálogo Known Exploited Vulnerabilities, alegando informes de explotación activa en el mundo real. Una afecta al Built-in CODE Server de Collabora Online y la otra a Arista VeloCloud Orchestrator, y ambas se describen como críticas. Eso es todo lo que el registro público nos ofrece esta mañana. Basta.
Ninguno de los dos productos es exótico. Uno permite a varias personas editar documentos a la vez. El otro es un orquestador, una caja cuya descripción de puesto consiste en que el resto de la red le obedezca. Los atacantes quieren ambos por la misma razón por la que nosotros los desplegamos: se concentra mucha confianza en un solo lugar. Si el orquestador se ve comprometido, no tienes un dispositivo vulnerable. Tienes una opinión vulnerable que comparten todos los demás dispositivos.
Una cautela tras la lectura en profundidad. Durante todo el fin de semana, el feed de puntuación de Atlas ha etiquetado a grupos de ransomware con «KEV × ransomware fusion», lo que da a entender que alguien ha vinculado estos fallos con Qilin y compañía. Nadie lo ha hecho. Nada en los feeds de hoy relaciona a ningún grupo de ransomware con ningún CVE concreto. La etiqueta de fusión es la hipótesis del panel, no un hallazgo. Parchee estos fallos porque están siendo explotados, no porque un recuadro se haya puesto ámbar.
Por qué importaSi ejecuta el servidor CODE de Collabora o un VeloCloud Orchestrator en un lugar al que pueda llegar cualquier elemento no confiable, aplique el parche hoy y busque indicios de compromiso, por ese orden.