Inicio / Protege tu empresa / Blog / Las 30 mayores vulnerabilidades explotadas por los ciberatacantes

Las 30 mayores vulnerabilidades explotadas por los ciberatacantes

Publicado el 22/06/2015, por Juan D. Peláez (INCIBE)
Vulnerabilidades explotadas

Los ciberatacantes son tan numerosos y persistentes como las corrientes de agua tratando de abrirse paso, buscando huecos, agujeros, debilidades de muros y presas, con el objetivo alcanzar sus metas, pudiendo convertir los muros en auténticos coladeros de agua, sino existe una adecuada y sistemática revisión de los mismos.

Es conocida la larga tradición en la construcción de presas en nuestro país, ya desde la época romana, garantizar la disponibilidad y calidad del agua para los regadíos y para uso domestico ha sido y es una de las máximas prioridades. El uso eficiente del agua, como recurso natural, produce grandes beneficios a la sociedad, pero no están exentas de riesgos y peligros. Las presas disponen de vías adecuadas para permitir que el agua salga de manera ordenada, tanto para su función de regadío y abastecimiento, como para vertedero de agua sobrante. La rotura de una presa puede generar un daño enorme tanto al medio ambiente como a la sociedad en general. Los ingenieros deben de velar por la seguridad de las mismas y prevenir cualquier tipo de incidente.

Al igual que las presas, los sistemas operativos y gran parte de las aplicaciones que utilizamos en nuestro día a día en la empresa, y en el hogar, también tienen sus riesgos y peligros. Los sistemas de información disponen de mecanismos de seguridad para que sólo usuarios autorizados accedan a los servicios. Sin embargo estos sistemas de información sufren ataques por parte de múltiples actores tratando de realizar acciones no autorizadas, pudiendo producir cuantiosos daños de imagen y económicos. Los responsables de seguridad deben tomar las medidas de seguridad adecuadas para prevenir incidentes de seguridad.

Cuanta más utilizada sea la aplicación o sistema, mayores serán los esfuerzos por parte de los ciberatacantes en buscar esos agujeros o vulnerabilidades para colarse.

¿Qué es una vulnerabilidad?

Fallos o agujeros de seguridad detectados en algún programa o sistema informático, que el malware utiliza para propagarse e infectar. Estos errores de programación y/o diseño permiten que un tercero se aproveche de ellos para realizar acciones tales como ataques, intrusiones o cualquier otro uso indebido

Las vulnerabilidades conocidas y catalogadas vienen identificadas con un código CVE (del inglés Common Vulnerabilities and Exposures). La organización MITRE Corporation de Estados Unidos, mantiene un registro de vulnerabilidades de seguridad descubiertas, donde cada referencia tiene un número de identificación único. Tiene una nomenclatura común que permite compartición de datos sobre dichas vulnerabilidades. El formato para las entradas CVE es: CVE-YYYY-NNNN (YYYY indica el año y NNNN el número de vulnerabilidad).

¿Qué puede suceder si no se corrigen las vulnerabilidades?

Las vulnerabilidades no corregidas permiten a los ciberatacantes acceder a los sistemas informáticos de una manera sencilla. Una vez dentro, los atacantes son capaces de robar información confidencial para solicitar un rescate, parar los sistemas, o dañar la imagen de la empresa.

30 vulnerabilidades más utilizadas por los ciberdelincuentes.

¿A qué aplicaciones afectan estas vulnerabilidades?

Aplicaciones comúnmente utilizadas por la mayoría de las organizaciones como Internet Explorer, Office Word, Excel, Visual Basic, SQL Server, Windows, Java Development Kit, Reader Acrobat, ColdFusion, Flash Player o OpenSSL, están en la lista de las 30 vulnerabilidades consideradas como de alto riesgo.

¿Puedo infectarme sólo con navegar por una página web?

La respuesta es SÍ. Si tus aplicaciones no están actualizadas es muy probable que tu equipo se infecte con solo navegar por páginas web. Por ejemplo, si tu versión del Adobe Flash Player es anterior a la versión 17.0.0.188 con un pequeño “kit” con exploits de vulnerabilidades, un ciberatacante puede llegar a controlar tu equipo.

¿En qué consisten estas vulnerabilidades?

En la lista de las 30 vulnerabilidades más importantes explotadas por los ciberdelicuentes, están algunas como la vulnerabilidad de Microsoft Office Word 2002 SP3, que permite a atacantes remotos introducir un virus en documentos Word con extensión .doc, y que enviándolos a la víctima por correo electrónico, solo con abrir el documento el atacante obtiene el control total sobre el sistema.

Otra de las vulnerabilidades más extendidas es la que afecta al componente de Oracle Java Runtime Environment, que a través de un virus malicioso, permite violar la privacidad y la seguridad del sistema, comúnmente inutilizando los sistemas a través de ventanas emergentes.

vulnerabilidadEl caso de la Vulnerabilidad en Adobe Flash Player, permite al atacante acceder a un sistema a través de la ejecución de un fichero .swf que generalmente son videos o animaciones en Flash que pueden llegarnos por correo electrónico o descargamos de páginas web aparentemente confiables.

En la lista de Top 30 vulnerabilidades se indica el producto el código CVE y el enlace a su descripción, impacto, productos y versiones afectadas, y posibles soluciones. Es de destacar que gran parte de estas vulnerabilidades explotadas son muy antiguas, por lo que demuestra que en muchas ocasiones las políticas de actualización de las aplicaciones y sistemas operativos con no están implantadas.

¿Qué pasos debe realizar una empresa para corregir las vulnerabilidades?

Mantener los sistemas informáticos correctamente actualizados y parcheados permite en gran medida corregir y reparar estas vulnerabilidades.

Las empresas deben realizar un proceso continuo y riguroso de gestión y reparación de vulnerabilidades en sus sistemas informáticos, para prevenir los potenciales ataques e incidentes de ciberseguridad. Cuanto más tiempo pasa un sistema sin reparar más tiempo está expuesto a ser atacando por un ciberdelincuente.

Por este motivo, es importante que junto con el departamento de sistemas o la empresa con la tengas subcontratado los servicios informáticos, reviséis si todos los sistemas y aplicaciones de vuestra empresas están actualizados.

Recomendación

Mantente alerta y no permitas que se cuelen en tus sistemas informáticos. Es necesario que los responsables de seguridad de las empresas se preocupen por arreglar los agujeros de sus sistemas. Revisa que las versiones de tus aplicaciones sean las últimas versiones del producto. Que tu empresa no sea un coladero de vulnerabilidades. ¡No dejes que te entre el agua!

 

Listado de Top 30 Vulnerabilidades

30 Mayores vulnerabilidades