La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) ha añadido dos vulnerabilidades críticas a su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV), afectando a dos productos ampliamente utilizados: Adobe ColdFusion y Oracle Agile Product Lifecycle Management (PLM). Estas fallas, identificadas como CVE-2017-3066 y CVE-2024-20953, ya están siendo aprovechadas por ciberdelincuentes, lo que representa un serio riesgo para empresas y organizaciones.
Ambas vulnerabilidades están relacionadas con fallas de deserialización, un problema recurrente en ciberseguridad. Cuando una aplicación procesa datos no confiables sin las medidas adecuadas, los atacantes pueden inyectar código malicioso para tomar el control del sistema, escalar privilegios o ejecutar comandos peligrosos. Esto las convierte en una puerta de entrada ideal para ataques como robo de información, ransomware y accesos no autorizados. Si tu empresa usa alguno de estos productos, ignorar esta advertencia podría salir muy caro.
Detalles de las vulnerabilidades: CVE-2017-3066 y CVE-2024-20953
A continuación, te explicamos de forma clara qué significan estas vulnerabilidades y por qué son un problema serio.
CVE-2017-3066: La falla en Adobe ColdFusion que sigue dando problemas
Esta vulnerabilidad fue reportada por primera vez en 2017 y afecta a Adobe ColdFusion, específicamente a la biblioteca Apache BlazeDS que usa este software. El problema es que ColdFusion no valida correctamente los datos cuando los deserializa, lo que abre la puerta a que los atacantes inyecten código malicioso. En otras palabras, si esta falla no se corrige, un hacker podría ejecutar comandos en el sistema afectado e incluso tomar el control total.
Las versiones vulnerables incluyen:
- ColdFusion 2016 (Actualización 3 y anteriores)
- ColdFusion 11 (Actualización 11 y anteriores)
- ColdFusion 10 (Actualización 22 y anteriores)
Adobe lanzó parches en abril de 2017 para corregir el problema, pero el riesgo sigue presente en sistemas que no han aplicado las actualizaciones.
¿Cómo protegerse?
Si trabajas con ColdFusion, Adobe recomienda actualizar a las siguientes versiones para cerrar esta brecha de seguridad:
- ColdFusion 2016 – Actualización 4
- ColdFusion 11 – Actualización 12
- ColdFusion 10 – Actualización 23
Estas actualizaciones no solo solucionan la vulnerabilidad CVE-2017-3066, sino que también protegen contra otros problemas de seguridad, como CVE-2017-3008, una falla de XSS (Cross-Site Scripting).
Podría interesarte leer: ¿Qué Pasa si No Actualizas Software?: Evita Vulnerabilidades
CVE-2024-20953: La vulnerabilidad en Oracle Agile PLM que no puedes ignorar
Otra de las fallas críticas que CISA ha agregado es CVE-2024-20953, un problema grave en Oracle Agile Product Lifecycle Management (PLM). Esta vulnerabilidad afecta la versión 9.3.6 del software y permite a un atacante con acceso a la red (vía HTTP) aprovechar una falla de deserialización para ejecutar código malicioso. En pocas palabras, si esta vulnerabilidad es explotada, un hacker podría tomar el control total del sistema afectado, lo que representa un riesgo enorme para las empresas que dependen de esta herramienta.
El nivel de peligrosidad es alto: tiene una calificación CVSS de 8.8, lo que significa que su impacto puede comprometer la confidencialidad, integridad y disponibilidad de los datos. Además, su facilidad de explotación la convierte en un objetivo atractivo para ciberdelincuentes.
¿Cómo protegerse?
Si tu empresa usa Oracle Agile PLM, es crucial que apliques el parche de seguridad que Oracle ha lanzado lo antes posible. No hacerlo podría dejar tu sistema expuesto a ataques que podrían robar información crítica o interrumpir operaciones clave.
¿Cómo han respondido Oracle y Adobe a estas amenazas?
Tanto Oracle como Adobe han actuado rápido para contener estos riesgos.
- Oracle ha lanzado un parche de seguridad dentro de su ciclo de actualizaciones críticas (Critical Patch Updates – CPU) para abordar CVE-2024-20953. También insiste en la importancia de mantener los sistemas actualizados para evitar que los atacantes aprovechen vulnerabilidades ya conocidas.
- Adobe tomó medidas similares con CVE-2017-3066, publicando revisiones para ColdFusion y recomendando a sus usuarios actualizar cuanto antes.
Pero publicar parches no es suficiente si los usuarios no los aplican. Si tu empresa usa alguno de estos productos, la seguridad de tus sistemas está en tus manos.
Podría interesarte leer: Administración Automatizada de Parches con TecnetProtect
Conclusión
Las vulnerabilidades de deserialización, como CVE-2017-3066 en Adobe ColdFusion y CVE-2024-20953 en Oracle Agile PLM, representan una seria amenaza si no se abordan a tiempo. CISA ha dado la alerta, ahora depende de las empresas actuar con rapidez.
Aplicar los parches de seguridad, fortalecer la configuración de los sistemas y mantenerse informado son las mejores estrategias para evitar que los ciberdelincuentes exploten estas fallas. Además, herramientas avanzadas de inteligencia de amenazas, como las que ofrece TecnetOne, pueden ser clave para detectar riesgos antes de que sea demasiado tarde.
Si aún no has tomado medidas, ahora es el momento. ¿Vas a esperar a ser víctima de un ataque o vas a proteger tu sistema hoy mismo?
