NCSC de los Países Bajos: la explotación de las vulnerabilidades críticas de Check Point VPN es inminente

El Cen­tro Na­cio­nal de Ci­ber­se­gu­ri­dad de los Paí­ses Bajos ha emi­ti­do una aler­ta sobre la po­si­bi­li­dad de que se pro­duz­can ata­ques muy pron­to con­tra un par de vul­ne­ra­bi­li­da­des gra­ves pre­sen­tes en una he­rra­mien­ta cor­po­ra­ti­va de red pri­va­da vir­tual. Aun­que to­da­vía no se ha in­for­ma­do sobre la exis­ten­cia de có­di­gos pú­bli­cos para ex­plo­tar­las, la en­ti­dad gu­ber­na­men­tal ca­li­fi­ca tanto la pro­ba­bi­li­dad de que ocu­rran agre­sio­nes como sus po­si­bles con­se­cuen­cias como ele­va­das, por lo que acon­se­ja apli­car los par­ches de se­gu­ri­dad con la mayor bre­ve­dad.

Los pro­ble­mas de se­gu­ri­dad, ca­ta­lo­ga­dos bajo có­di­gos es­pe­cí­fi­cos, afec­tan el pro­ce­so de ne­go­cia­ción de cer­ti­fi­ca­dos y al de­co­di­fi­ca­dor ASN.1 en pa­sa­re­las de se­gu­ri­dad y ser­vi­do­res de ges­tión, pu­dien­do per­mi­tir a ata­can­tes re­mo­tos la eje­cu­ción ar­bi­tra­ria de có­di­go. Entre los pro­duc­tos vul­ne­ra­bles se en­cuen­tran di­ver­sas ver­sio­nes re­cien­tes, así como edi­cio­nes an­ti­guas que ya han su­pe­ra­do su ciclo de so­por­te téc­ni­co, mien­tras que una ver­sión es­pe­cí­fi­ca del soft­wa­re se man­tie­ne sin afec­ta­ción.

Para con­tra­rres­tar estas fa­llas, la com­pa­ñía res­pon­sa­ble pu­bli­có ac­tua­li­za­cio­nes y avi­sos de se­gu­ri­dad que in­clu­yen par­ches es­pe­cí­fi­cos, acu­mu­la­do­res de co­rrec­cio­nes y he­rra­mien­tas de des­plie­gue au­to­má­ti­co que en al­gu­nos casos apli­can pro­tec­cio­nes sin re­que­rir el re­ini­cio del ser­vi­dor. Adi­cio­nal­men­te, el or­ga­nis­mo de ci­ber­se­gu­ri­dad re­co­mien­da a los ad­mi­nis­tra­do­res res­trin­gir las re­glas de ac­ce­so del com­po­nen­te de red pri­va­da vir­tual a di­rec­cio­nes IP con­fia­bles y es­pe­cí­fi­cas.