Entradas de blog etiquetadas con ' homeoffice ' Rss

Ataques sobre el Linux más complejos que nunca

La vulnerabilidad ZcopyReaper (CVE-2026-43502) es un fallo de escalada de privilegios local en la ruta de envío zerocopy de RDS (Reliable Datagram Sockets) del kernel de Linux. Este problema existe desde la versión 4.17 del kernel de Linux.

Los atacantes pueden aprovechar un manejo inadecuado de la memoria durante el proceso de limpieza de RDS para obtener privilegios de administrador. Una vez elevados, pueden acceder a datos confidenciales, instalar malware y moverse lateralmente por las redes corporativas.

La publicación de una prueba de concepto pública aumenta el riesgo de explotación y reduce la barrera técnica para los atacantes.

¿ZcopyReaper?

La vulnerabilidad ZcopyReaper es especialmente preocupante porque afecta a los sistemas Linux desde la versión 4.17 del kernel. Como resultado, muchos sistemas implementados a lo largo de varios años podrían ser vulnerables.

La disponibilidad de una prueba de concepto pública aumenta la probabilidad de ataques activos. Linux también impulsa infraestructuras críticas, entornos en la nube y servidores empresariales en todo el mundo, lo que convierte a esta amenaza en una prioridad para las organizaciones que dependen de sistemas basados en Linux.

¿Cuál es la exposición o el riesgo?

Las organizaciones que utilizan versiones afectadas del kernel de Linux (4.17 y posteriores) se enfrentan a un riesgo significativo debido a la vulnerabilidad ZcopyReaper (CVE-2026-43502). Si se explota, los atacantes con acceso local pueden obtener privilegios de administrador y tomar el control total del sistema. Este acceso puede permitir el acceso no autorizado a datos, la instalación de malware, la creación de puertas traseras persistentes y la modificación de configuraciones críticas del sistema.

Los atacantes también pueden usar un sistema comprometido como punto de entrada para moverse lateralmente a través de las redes corporativas. La vulnerabilidad pública de prueba de concepto (PoC) aumenta aún más el riesgo al hacer que la explotación sea más accesible.

Los entornos en la nube, los centros de datos y los servidores empresariales que ejecutan sistemas Linux sin actualizar son especialmente vulnerables.

Recomendaciones para reducir el riesgo

• Actualiza a la última versión del kernel de Linux que soluciona la vulnerabilidad CVE-2026-43502.
• Desactive o incluya en la lista negra el módulo rds.ko si su entorno no requiere Reliable Datagram Sockets (RDS).
• Restrinja el acceso de los usuarios a los sistemas críticos e implemente controles de acceso con privilegios mínimos.
• Mejorar la monitorización y el registro de eventos para detectar intentos de escalada de privilegios y actividades inusuales.
• Revise las configuraciones del sistema y aplique las mejores prácticas de refuerzo de seguridad de Linux.
• Manténgase al tanto de las directrices y las actualizaciones de los proveedores de Linux, incluidos Red Hat, Ubuntu y SUSE.
• Pruebe los parches en un entorno de prueba antes de implementarlos en los sistemas de producción.

¿Cuál es la amenaza?

Este problema afecta al comportamiento de transferencia de archivos en las sesiones de Soporte y Acceso Remoto de ScreenConnect y podría exponer a las organizaciones a riesgos a través de la funcionalidad de transferencia de archivos para técnicos de la plataforma. Si bien ConnectWise no ha revelado detalles técnicos sobre la causa raíz, ha proporcionado recomendaciones provisionales para reducir la exposición. En concreto, las organizaciones deben eliminar los permisos de transferencia de archivos de los roles de técnico hasta que se publique una solución definitiva.

¿Por qué es digno de mención?

Las plataformas de administración remota, como ScreenConnect, suelen tener acceso privilegiado a múltiples puntos finales y entornos de clientes. En consecuencia, las vulnerabilidades relacionadas con el movimiento de archivos pueden generar importantes riesgos de seguridad.

ConnectWise también señala que los ciberdelincuentes ya habían atacado vulnerabilidades de ScreenConnect, incluyendo campañas vinculadas a operadores de ransomware y grupos patrocinados por estados. Además, Shadowserver rastrea cerca de 6000 instancias de ScreenConnect expuestas a internet, lo que aumenta el potencial de explotación oportunista si los permisos de transferencia de archivos permanecen habilitados.

¿Cuál es la exposición o el riesgo?

Las organizaciones se exponen a riesgos cuando los roles de técnico de ScreenConnect conservan permisos de transferencia de archivos para las sesiones de Soporte y Acceso. Los ciberdelincuentes podrían aprovechar estos permisos para transferir archivos maliciosos o confidenciales durante las sesiones remotas.

Hasta que ConnectWise publique una solución definitiva, las organizaciones se enfrentan a un mayor riesgo de movimiento no autorizado de archivos y posteriores ataques informáticos en entornos gestionados. El riesgo es especialmente alto en entornos donde las cuentas de técnico tienen amplios privilegios.

¿Cuál son las recomendaciones?

Las siguientes recomendaciones son realizadas para reducir el riesgo:

• Implemente de inmediato la solución provisional de ConnectWise: Elimine el permiso TransferFiles, o TransferFilesInSession para roles heredados, de los grupos de sesión pertinentes en Administración > Seguridad > Roles. Aplique los cambios a todos los roles aplicables.
• Revise todas las implementaciones de ScreenConnect: verifique tanto las instancias alojadas en la nube como las locales. Identifique y corrija los roles de técnico que conservan permisos de transferencia de archivos.
• Supervise la actividad sospechosa de transferencia de archivos: revise las acciones administrativas de ScreenConnect e investigue las transferencias de archivos recientes de las sesiones de Soporte y Acceso para detectar comportamientos inusuales, especialmente en entornos con altos privilegios.
• Prepárese para implementar la solución permanente: consulte el aviso de ConnectWise para obtener información actualizada, detalles sobre las vulnerabilidades CVE y versiones parcheadas a medida que estén disponibles.

• Minimice las interrupciones operativas: Identifique los flujos de trabajo de los técnicos que dependen de la transferencia de herramientas, scripts, registros o paquetes. Establezca alternativas aprobadas hasta que ConnectWise publique y valide una solución definitiva.