• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / General / Vulnerabilidades reportadas ascienden a más de 172.000

Vulnerabilidades reportadas ascienden a más de 172.000

24 marzo, 2022 Por Jesús Pacheco @as_informatico Deja un comentario

Desde “Una al día” nos hacemos eco de las noticias más destacadas y de actualidad que envuelven el mundo de la ciberseguridad, fuente de información usada por miles de usuarios, estudiantes, profesionales o meros curiosos.

Todos los días ocurren varias incidencias de mayor o menor impacto, desde ataques cibercriminales cuyo objetivo es la simple obtención de dinero hasta ataques reivindicativos por asuntos políticos o religiosos; sin olvidar otros menores tales como venganzas, demostraciones de poder, etc. Incidentes que pueden llevarse a cabo en la mayoría de casos gracias a las distintas vulnerabilidades existentes en los sistemas operativos, las aplicaciones y en general en todos los dispositivos que comprenden el ecosistema informático mundial.

Vulnerabilidades totales reportadas por score desde 1999 hasta 2021
Vulnerabilidades totales reportadas por puntuación a 20/03/2022
Fuente: cvedetails.com

Estas vulnerabilidades son normalmente producto del descuido en el diseño y elaboración de los mismos por ditintas causas que no vamos a detenernos a detallar en esta ocasión. Lo que hemos venido a contar (nunca mejor dicho) son las cifras que envuelven a las vulnerabilidades, esos “despistes de diseño” a través de los cuales los atacantes pueden conseguir su objetivo mediante la explotación de diversas técnicas de hacking.

Las vulnerabilidades reportadas por hackers éticos, fabricantes, desarrolladores y demás actores son recopiladas y documentadas mediante un sistema de clasificación el cual otorga una identificación única a cada vulnerabilidad y se clasifican además con una puntuación o “score” que detalla el riesgo de la vulnerabilidad a la hora de ser usada por los atacantes.

Tabla de equivalencia de nivel de riesgo según puntuación CVSS
Equivalencia de nivel de riesgo según puntuación CVSS

Puntuación CVSS o nivel de riesgo

Esta puntuación cataloga el nivel de riesgo desde 0.0 hasta 10.0, siendo 10.0 el índice máximo de riesgo, es el llamado CVSS (Common Vulnerability Scoring System) usado por esta lista de identificación y catalogación de vulnerabilidades que comentamos, esta lista fue creada en 1999 por la corporación MITRE y es conocida por las siglas CVE (Common Vulnerabilities and Exposures), es actualmente un estándar en ciberseguridad usado por la mayoría de repositorios de vulnerabilidades conocidas. Puede consultarse y es actualizada diariamente con todas las nuevas vulnerabilidades reportadas.

La forma de otorgar el nivel de riesgo a una vulnerabilidad viene dada por una combinación de diferentes factores como vector de acceso, el impacto en la confidencialidad o integridad, los potenciales daños colaterales, etc. Una forma sencilla de poder evaluar la puntuación de una vulnerabilidad que hayamos podido encontrar es haciendo uso de una calculadora de CVSS, como por ejemplo la ofrecida por el Instituto Nacional de Estándares y Tecnología del gobierno de Estados Unidos en la siguiente dirección: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator o la disponible en la web del Foro de Respuesta a Incidentes y Equipos de Seguridad, más conocido como el FIRST por sus siglas en inglés: https://www.first.org/cvss/calculator/3.1


En ella podemos calcular la puntuación obtenida por una vulnerabilidad seleccionando las opciones disponibles en un formulario. También podemos consultar la fórmula que utilizan para calcular el resultado.

El identificador CVE

El CVE asignado a una vulnerabilidad se compone de las siglas CVE seguido del número del año en la que se ha reportado la vulnerabilidad y el número de vulnerabilidad, normalmente de 4 dígitos aunque puede contener más cifras de ser necesario. El formato sería del estilo CVE-AAAA-NNNN, donde AAAA comprende los dígitos del año y NNNN al número de vulnerabilidad. Este número puede variar en el orden de publicación ya que puede asignarse por parte del CVE Content Team, el CVE Editor o por una reserva previa de numeración que puede ser de forma individual o por lotes al comienzo de cada año, como es el caso de los grandes fabricantes como Microsoft o Apple.

Un ejemplo de CVE podría ser el CVE-2021-44228, que corresponde a una vulnerabilidad publicada las pasadas navidades encontrada por un equipo de ciberseguridad de Alibaba Cloud en la librería LOG4J de la Apache Sotfware Foundation con una puntación de riesgo del nivel máximo que tanto revuelo ha ocasionado y del que hablamos en su momento en este blog.

Las vulnerabilidades en cifras

Ahora que ya todos conocemos la nomenclatura y la forma de puntuar las vulnerabilidades vamos a por esos números. Desde 1999 que se llevan recopilando las vulnerabilidades en la lista CVE, llevamos acumuladas hasta el pasado fin de semana la nada despreciable cifra de 172.448 vulnerabilidades reportadas de las cuales más de 20.000 son catalogadas como graves o muy graves.

Todas las vulnerabiliadades reportadas desde 1999 hasta 2021

En la gráfica anterior puede observarse como a lo largo de los años el número de vulnerabilidades reportadas ha ido en aumento significativamente, derivado por varios factores. El más destacado es el aumento de desarrollos existentes unido al creciente interés por la ciberseguridad en varios niveles. La cantidad de equipos de ciberseguridad y hackers éticos dispuestos a reportar ha aumentado en gran medida en los últimos años, los programas de bug bounty también han contribuido a ello.

En contraposición al aumento de publicación de vulnerabilidades encontramos la cantidad de vulnerabilidades de nivel muy grave que ha experimentado un descenso desde 2016, coincidente justo ese mismo año con el aumento de reportes como puede verse en la gráfica siguiente.

Índice de vulnerabilidades graves desde 1999 a 2021

El aumento en concienciación en ciberseguridad por parte de las empresas fabricantes de software junto con el incremento de los ataques llevados a cabo por cibercriminales y otros grupos hace que la importancia de la figura de los hackers éticos sea crucial, al igual que la importancia de la aplicación de técnicas de desarrollo seguro por los equipos de programación de empresas y organizaciones.

Un indicador positivo en la aplicación de estas medidas podría ser el ver un descenso en el reporte total de vulnerabilidades de años venideros, aunque de momento todo parece apuntar a que van a seguir incrementándose.

Solo tenemos que observar los datos generados en los pocos meses transcurridos en 2022, que asciende a nada menos que a 5.335 vulnerabilidades, una cantidad superior a todos los reportes generados en todo el año 2013 y también si lo comparamos con los resultados del pasado año 2021 en la misma fecha que ascendía a poco más de 3.800 reportes.

Compartiva de vulnerabilidades reportadas en el primer trimenstre de 2021 y 2022

Mientras tanto, seguimos trabajando para hacer de Internet un lugar más seguro, compartiendo desde UAD la información necesaria para ayudar a que así sea y desde Hispasec con servicios como SANA (Sistema de Análisis y Notificaciones sobre vulnerabilidades y Actualizaciones de seguridad) en el que los usuarios reciben las alertas personalizadas que afectan al inventario de activos de su organización.

SANA, el sistema de alertas personalizadas de Hispasec

Capturas de la herramienta SANA en el Panel de Control Hispasec que puede ser contratado por cualquier usuario
Capturas de la herramienta SANA en el Panel de Control Hispasec

SANA utiliza distintos formatos de notificación, a través del correo electrónico y mediante mensajes a teléfonos móviles y el panel de control web, un servicio de alertas que trabaja 24 horas al día, 365 días al año.

SANA se divide en 3 sectores. Las alertas, información puntual sobre nuevas vulnerabilidades que realmente puedan afectar a los sistemas del cliente, junto con las medidas preventivas y/o parches para subsanarlas. Los análisis, documentos técnicos elaborados por Hispasec que ayudan a instalar, configurar, establecer políticas y mantener seguros los sistemas. Por último el diario, una recopilación de noticias del sector y demás publicaciones relacionadas con la seguridad informática.

Más información:

https://www.cve.org/

https://www.mitre.org/

https://www.cvedetails.com

https://nvd.nist.gov/vuln-metrics/cvss

https://www.first.org/cvss/

https://hispasec.com/services/intel

Acerca de Jesús Pacheco @as_informatico

Jesús Pacheco Ha escrito 15 publicaciones.

Apasionado de la ciberseguridad desde tiempos inmemoriales. Product Manager en Hispasec Sistemas. @as_informatico

  • View all posts by Jesús Pacheco @as_informatico →
  • Blog

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Publicado en: General, Vulnerabilidades Etiquetado como: cve, rce, vulnerabilidad, vulnerabilidades

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscar

Síguenos

siguenos en twitter

UAD360 EDICIÓN 2022

https://www.youtube.com/watch?v=go_CSWK56yU

Populares de UAD

  • Tamagotchi para hackers: Flipper Zero
  • Evasión de CloudTrail en AWS a través de API no documentada
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Las apps de mensajería y videoconferencia te escuchan incluso cuando estás "muteado"
  • ¿Qué es DMARC? La necesidad de la protección del correo electrónico

Entradas recientes

  • Evasión de CloudTrail en AWS a través de API no documentada
  • Parches de enero 2023: Microsoft corrige 98 vulnerabilidades
  • UAD se abre a la comunidad
  • Campañas de phishing utilizan Flipper Zero como cebo
  • Vulnerabilidades críticas en productos de Synology
  • Más de dos docenas de errores de WordPress explotados por un nuevo malware de Linux
  • Descubierta una nueva campaña de malware que se propagaba a través de los anuncios de Google
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

UAD

UAD nació a raíz de un inocente comentario en un canal IRC hace 24 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Aviso Legal

  • Aviso Legal
  • Términos y Condiciones
  • Política de Privacidad
  • Política de Cookies

Copyright © 2023 · Hispasec Sistemas, S.L. Todos los derechos reservados

Este sitio web utiliza cookies propias y de terceros para fines analíticos y para mostrarte publicidad (tanto general como personalizada) relacionada con tus preferencias en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas), para optimizar la web y para poder valorar las opiniones de los servicios consultados por los usuarios. Para administrar o deshabilitar estas cookies haz clic en: Configurar Cookies


Rechazar todo Aceptar Todo
Configurar Cookies

Resumen de privacidad

Este sitio web utiliza cookies para mejorar su experiencia mientras navega por el sitio web. De estas, las cookies que se clasifican como necesarias se almacenan en su navegador, ya que son esenciales para el funcionamiento de las funcionalidades básicas del sitio web. También utilizamos cookies de terceros que nos ayudan a analizar y comprender cómo utiliza este sitio web. Estas cookies se almacenarán en su navegador solo con su consentimiento. También tiene la opción de optar por no recibir estas cookies. Pero la exclusión voluntaria de algunas de estas cookies puede afectar su experiencia de navegación.
Necesaria
Siempre activado
Las cookies necesarias son absolutamente esenciales para que el sitio web funcione correctamente. Estas cookies garantizan funcionalidades básicas y características de seguridad del sitio web, de forma anónima.
CookieDuraciónDescripción
cookielawinfo-checkbox-analytics11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Análisis".
cookielawinfo-checkbox-functional11 monthsLa cookie está configurada por el consentimiento de cookies de GDPR para registrar el consentimiento del usuario para las cookies en la categoría "Funcional".
cookielawinfo-checkbox-necessary11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. Las cookies se utilizan para almacenar el consentimiento del usuario para las cookies en la categoría "Necesario".
cookielawinfo-checkbox-others11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Otro.
cookielawinfo-checkbox-performance11 monthsEsta cookie está configurada por el complemento de consentimiento de cookies de GDPR. La cookie se utiliza para almacenar el consentimiento del usuario para las cookies en la categoría "Rendimiento".
viewed_cookie_policy11 monthsLa cookie está configurada por el complemento de consentimiento de cookies de GDPR y se utiliza para almacenar si el usuario ha dado su consentimiento o no para el uso de cookies. No almacena ningún dato personal.
Analítica
Las cookies analíticas se utilizan para comprender cómo interactúan los visitantes con el sitio web. Estas cookies ayudan a proporcionar información sobre métricas, el número de visitantes, la tasa de rebote, la fuente de tráfico, etc.
GUARDAR Y ACEPTAR
 

Cargando comentarios...