Una vulnerabilidad crítica fue detectada en Microsoft SharePoint, un software ampliamente utilizado en distintas organizaciones, incluidas dependencias gubernamentales mexicanas. Este fallo, identificado como CVE-2024-38094, podría permitir el control de los sistemas de las víctimas.
En una alerta, Víctor Ruiz, instructor certificado en ciberseguridad y fundador de SILIKN, precisó que la vulnerabilidad es calificada con una gravedad de 7.2 en la escala CVSS, que va de 0 a 10. Asimismo, advirtió que ya está siendo explotada activamente por ciberatacantes.
Esta vulnerabilidad se relaciona con un proceso de deserialización insegura, el cual permite a los atacantes ejecutar código arbitrario y tomar control remoto del sistema afectado. En este caso, se vuelve particularmente grave al estar vulnerables varios organismos de gobierno.
Cómo afecta la vulnerabilidad de Microsoft SharePoint a las víctimas
De acuerdo con Microsoft, un atacante con permisos de propietario del sitio en SharePoint puede explotar esta vulnerabilidad inyectando y ejecutando código malicioso.
Si bien Microsoft lanzó parches en julio de 2024 como parte de sus actualizaciones regulares de seguridad, la amenaza sigue latente, ya que una prueba de concepto está disponible públicamente en el sitio de GitHub, lo que facilita que otros atacantes reproduzcan el ataque.
¿Qué dependencias de gobierno son vulnerables?
Según el análisis de SILIKN, esta situación afecta al menos a 18 dependencias gubernamentales en México, que han sido señaladas como vulnerables y deben implementar urgentemente las actualizaciones para mitigar los riesgos de explotación.
Entre estas dependencias se encuentran importantes entidades como el Instituto Mexicano de la Propiedad Industrial (IMPI), la Fiscalía General de la República (FGR) y diversas oficinas de los gobiernos estatales, principalmente en San Luis Potosí.
Pasos urgentes para mitigar el riesgo de ataque
Las organizaciones afectadas tienen hasta el 12 de noviembre de 2024 para corregir la vulnerabilidad aplicando los parches de seguridad proporcionados por Microsoft.
“Esto se debe a que, según los estándares internacionales, se espera que las organizaciones corrijan las vulnerabilidades conocidas y explotadas dentro de un plazo de 14 días naturales, las vulnerabilidades críticas no explotadas en 15 días naturales, y las de alta gravedad no explotadas en un máximo de 30 días naturales”
— Víctor Ruiz, instructor certificado en ciberseguridad y fundador de SILIKN
Además, las instituciones deben fortalecer sus controles de auditoría y establecer sistemas de gestión de identidad claros para reducir el riesgo de acceso no autorizado a información confidencial.
Esta situación es un recordatorio de la importancia de mantener los sistemas actualizados y aplicar rápidamente las correcciones de seguridad para evitar graves incidentes que puedan comprometer datos sensibles o incluso paralizar las operaciones de instituciones públicas clave.
Lista de dependencias en riesgo
- Comité de Transparencia del Instituto Mexicano de la Propiedad Industrial
- Programa de Recompensas de la Fiscalía General de la República
- Portafolio de Información de La Comisión Nacional Bancaria y de Valores
- Secretaría de Desarrollo Agropecuario y Recursos Hidráulicos
- Archivo Histórico del Estado de San Luis Potosí
- Comisión Ejecutiva Estatal de Atención a Víctimas de San Luis Potosí
- Instituto Temazcalli - organismo descentralizado adscrito al DIF de San Luis Potosí
- Dirección de Pensiones del Estado de San Luis Potosí
- Servicios de Salud de San Luis Potosí
- Gobierno del Estado de San Luis Potosí
- Sistema Nacional de Información Estadística del Sector Turismo de México
- Sistema de citas y registro de personas de la Comisión Nacional de Seguros y Fianzas
- Consejo Nacional de Evaluación de la Política de Desarrollo Social
- Sitio de Información Turística de Ciudad Obregón, Sonora
- Promotora del Estado de San Luis Potosí
- Secretaría General de Gobierno del Estado de San Luis Potosí
- Secretaría de Desarrollo Agropecuario y Recursos Hidráulicos de San Luis Potosí
- Oficialía Mayor del Gobierno del Estado de San Luis Potosí
