Los equipos de seguridad de Zoho anunciaron el lanzamiento de un parche de seguridad que aborda una vulnerabilidad de evasión de autenticación en ManageEngine ADSelfService Plus, además de reconocer que la falla ya ha sido explotada en escenarios reales.
Identificada como CVE-2021-40539, esta falla es considerada como crítica debido a que su explotación exitosa permitiría a los actores de amenazas tomar control total del sistema comprometido.
Según el reporte de la compañía, la falla reside en las URL de la API REST en ADSelfService Plus y su explotación permitiría la ejecución remota de código (RCE). Los detalles técnicos sobre la vulnerabilidad aún no se han publicado debido a que el riesgo de explotación sigue latente: “Esto es un problema critico. Estamos notando indicios de explotación de esta vulnerabilidad”, señala la compañía.
Al parecer, todas las compilaciones de ADSelfService Plus hasta la 6113 resultaron ser vulnerables a este problema, por lo que se recomienda a los clientes que actualicen inmediatamente ADSelfService Plus compilación 6114 o posteriores.
En una alerta de seguridad posterior, la Agencia de Ciberseguridad y Seguridad de Infraestructura (CISA) solicitó a los usuarios verificar cuidadosamente las recomendaciones de Zoho, además de instalar las actualizaciones de ADSelfService cuanto antes.
ManageEngine ADSelfService Plus, una solución integrada de autoservicio de administración de contraseñas y de inicio de sesión único, se puede utilizar con Active Directory y aplicaciones en la nube para crear políticas de contraseñas, implementar técnicas de autenticación y hacer cumplir la autenticación de dos factores (2FA), entre otros.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
