Especialistas en ciberseguridad reportan la detección de dos vulnerabilidades severas en el popular lenguaje de programación FreeRDP. Acorde al reporte, la explotación exitosa de estas fallas permitiría a los actores de amenazas comprometer seriamente los sistemas afectados.
A continuación se presentan breves descripciones de las fallas reportadas, además de sus respectivas claves de identificación y puntajes asignados según el Common Vulnerability Scoring System (CVSS).
CVE-2021-41159: Un error de límite al procesar conexiones /gt:rpc permitiría a los actores de amenazas enviar al cliente datos especialmente diseñados desde un servidor remoto, lo que llevaría a la ejecución de código arbitrario en el sistema objetivo.
Esta es una falla de alta severidad y recibió un puntaje CVSS de 7.710, ya que su explotación exitosa pondría en riesgo todo el sistema afectado.
CVE-2021-41160: Un error de límite al procesar conexiones con GDI o SurfaceCommands permitiría a un servidor remoto enviar datos especialmente diseñados al cliente, activar una escritura fuera de límites y ejecutar código arbitrario.
La falla recibió un puntaje CVSS de 7.7/10 y su explotación exitosa permitiría a los actores de amenazas tomar control total del sistema comprometido.
Según el reporte, estas fallas residen en las siguientes versiones de FreeRDP: 2.0.0, 2.0.0 rc0, 2.0.0 rc1, 2.0.0 rc2, 2.0.0 rc3, 2.0.0 rc4, 2.1.0, 2.1.1, 2.1.2, 2.2.0, 2.3.0, 2.3.1, 2.3.2 y 2.4.0.
A pesar de que ambas fallas pueden ser explotadas por atacantes remotos no autenticados a través de Internet, hasta el momento no se han detectado intentos de explotación activa o la presencia de una variante de malware asociada al ataque. Por otra parte, los parches de seguridad ya están compatibles, por lo que se recomienda a los usuarios de versiones expuestas actualizar a la brevedad.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
