Trend Micro ZDI supera los 1.000 avisos de vulnerabilidades publicadas en el primer semestre de 2023

Madrid, 05 de septiembre de 2023 - Trend Micro Incorporated (TYO: 4704; TSE: 4704), líder global en  ciberseguridad, ha anunciado que su programa Zero Day Initiative ha publicado avisos que abordan más de 1.000 vulnerabilidades únicas en 2023. El impacto en el mundo real si estas vulnerabilidades se convirtieran en armas equivaldría a pérdidas de tiempo y financieras de más de 10 veces el coste de la prevención.

"Nuestra inversión proactiva millonaria cada año en investigación y adquisición de vulnerabilidades ahorra miles de millones en recuperación tanto para nuestros clientes como para la industria en su conjunto", afirma Kevin Simzer, COO de Trend. "Se está documentando una tendencia preocupante de empresas que carecen de transparencia en torno a los parches de proveedores de divulgación de vulnerabilidades, lo que supone una amenaza para la seguridad del mundo digital”.

Hoy, Trend pide que se ponga fin al parcheado silencioso, es decir, a la práctica de ralentizar o diluir la divulgación pública y la documentación de vulnerabilidades y parches. Se trata de un obstáculo importante en la lucha contra la ciberdelincuencia, pero es demasiado común entre los principales vendedores y proveedores de servicios en la nube.

Recientemente, durante la celebración de Black Hat USA 2023, los representantes de Trend Research revelaron que la aplicación silenciosa de parches se ha vuelto especialmente común entre los proveedores de servicios en la nube. Las empresas se abstienen con mayor frecuencia de asignar un ID de Vulnerabilidades y Exposiciones Comunes (CVE) para la documentación pública y, en su lugar, emiten parches de forma privada.

La falta de transparencia o de números de versión de los servicios en la nube dificulta la evaluación de riesgos y priva a la comunidad de seguridad en general de información valiosa para mejorar la seguridad general del ecosistema.

El año pasado Trend ya advirtió del creciente número de parches incompletos o defectuosos y de la reticencia cada vez mayor de los proveedores a proporcionar información fidedigna sobre los parches en un lenguaje sencillo. Desde entonces, la brecha se ha agravado y algunas empresas han dejado de dar prioridad a la aplicación de parches, exponiendo a sus clientes y sectores a riesgos innecesarios y cada vez mayores.

Es necesario adoptar medidas urgentes para dar prioridad a la aplicación de parches, abordar las vulnerabilidades y fomentar la colaboración entre investigadores, proveedores de ciberseguridad y proveedores de servicios en la nube para reforzar los servicios basados en la nube y proteger a los usuarios de posibles riesgos.

Trend se ha comprometido a aplicar parches transparentes a las vulnerabilidades y pretende mejorar las posturas de seguridad en todo el sector a través de su programa Zero Day Initiative. Mediante de su compromiso con la divulgación transparente, ZDI de Trend ha emitido avisos sobre varias vulnerabilidades zero-day, entre las que se incluyen:

ZDI-CAN-20784 Github (CVSS 9.9)

• Esta vulnerabilidad permite a atacantes remotos escalar privilegios en las instalaciones afectadas de Microsoft GitHub. Se requiere autenticación para explotar esta vulnerabilidad.
• El fallo se produce en la configuración de Dev-Containers. La aplicación no aplica el indicador de privilegios en la configuración de un contenedor de desarrollo. Un atacante puede aprovechar esta vulnerabilidad para escalar privilegios y ejecutar código en el contexto del hipervisor.

ZDI-CAN-20771 Microsoft Azure (CVSS 4.4)

• Esta vulnerabilidad permite a atacantes remotos revelar información sensible en Microsoft Azure. Un atacante debe obtener primero la capacidad de ejecutar código con privilegios elevados en el entorno de destino para poder explotar esta vulnerabilidad.
• El fallo se produce en la gestión de certificados. El problema resulta de la exposición de un recurso a la esfera de control incorrecta. Un atacante puede aprovechar esta vulnerabilidad para revelar credenciales almacenadas, lo que llevaría a un mayor compromiso.

Para obtener una lista completa de los avisos publicados por ZDI de Trend Micro, visita: https://www.zerodayinitiative.com/advisories/published/

ZDI, de Trend Micro, ha sido pionera en el mercado de vulnerabilidades, centrándose en interrumpir a los atacantes mediante la compra legítima de investigaciones de vulnerabilidades que luego pueden revelarse a los proveedores afectados para que las solucionen antes de que la información se haga pública.

 

Acerca de Trend Micro

Trend Micro, líder mundial en ciberseguridad, contribuye a que el mundo sea seguro en el intercambio de información digital. Impulsada por décadas de experiencia en seguridad, investigación de amenazas globales e innovación continua, nuestra plataforma de ciberseguridad protege a cientos de miles de organizaciones y millones de personas en la nube, redes, dispositivos y endpoints. Como líder en ciberseguridad empresarial y en la nube, la plataforma ofrece una potente variedad de técnicas de defensa contra amenazas avanzadas optimizadas para entornos como AWS, Microsoft y Google, y una visibilidad central para una detección y respuesta mejores y más rápidas. Con 7.000 empleados en 65 países, Trend Micro permite a las organizaciones simplificar y proteger su mundo conectado. TrendMicro.com.