GhostAction roba credenciales cloud e IA mediante GitHub Actions

1. Antecedentes:



Se identificó una campaña de robo de credenciales denominada GhostAction, dirigida a desarrolladores y organizaciones mediante el compromiso de cuentas de GitHub y la manipulación de flujos de trabajo de GitHub Actions. Los atacantes incorporan configuraciones maliciosas para extraer secretos almacenados en repositorios y credenciales presentes en el historial de cambios. La información comprometida incluye tokens de acceso, claves de servicios cloud y API de plataformas de inteligencia artificial. Posteriormente, los datos son exfiltrados hacia infraestructura controlada por los atacantes, lo que puede facilitar accesos no autorizados a entornos de desarrollo, servicios en la nube y recursos corporativos.

Fuente: Bafing

1. Antecedentes:

Se reportó una vulnerabilidad crítica de autorización incorrecta (CWE-863) en el componente de actualización de Google Chrome. La falla permite eludir las restricciones de seguridad del navegador y podría facilitar la ejecución de código con privilegios elevados en el sistema operativo. El problema se relaciona con una validación inadecuada de permisos que permitiría realizar operaciones fuera del contexto autorizado del actualizador. La explotación requiere interacción del usuario y puede comprometer la confidencialidad, integridad y disponibilidad del equipo afectado. La vulnerabilidad, identificada como CVE-2026-110159, registra una puntuación CVSS v3.1 de 9.6 (crítica).

3. Productos afectados:

• Google Chrome para escritorio: versiones anteriores a la 155.0.8059.79.

4. Recomendaciones:

• Actualizar Google Chrome a la versión 155.0.8059.79 o posterior en todos los endpoints corporativos.
• Verificar mediante herramientas centralizadas que la actualización se haya aplicado correctamente en toda la flota.
• Monitorear mediante EDR las ejecuciones y operaciones anómalas asociadas a GoogleUpdate.exe y componentes relacionados.
• Restringir la ejecución de software no autorizado o sin firma válida en las estaciones de trabajo.
• Revisar alertas de escalada de privilegios, procesos secundarios inusuales y posibles intentos de evasión del sandbox.
• Mantener habilitadas las actualizaciones automáticas y los controles de protección del navegador.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad crítica de deserialización insegura (CWE-502) en el cliente DB2 de Eclipse Vert.x (vertx-db2-client). La falla permite que un servidor DRDA malicioso o un atacante capaz de interceptar y modificar el tráfico de red envíe objetos manipulados al cliente. El procesamiento de estos datos sin filtros de deserialización puede provocar ejecución remota de código (RCE) o denegación de servicio (DoS). El riesgo aumenta cuando la aplicación incluye dependencias Java que permiten construir cadenas de explotación y cuando las conexiones carecen de cifrado TLS. La vulnerabilidad registra una puntuación CVSS v4.0 de 9.2 (crítica).

3. Productos afectados:

• Artefacto Maven: io.vertx:vertx-db2-client.
• Rama 4.x: versiones 4.5.34 e inferiores.
• Ramas 5.0.x y 5.1.x: versiones desde 5.0.0 hasta 5.1.8.
• Rama 5.2.x: versión 5.2.0.

4. Recomendaciones:

• Actualizar vertx-db2-client a una versión corregida indicada por Eclipse Vert.x y verificar la resolución de dependencias en pom.xml o build.gradle.
• Si la actualización no es inmediata, habilitar TLS obligatorio para las conexiones con servidores de bases de datos.
• Restringir las conexiones del cliente a servidores DRDA confiables y evitar exponerlas a redes públicas o segmentos no controlados.
• Revisar las dependencias Java del classpath para identificar componentes que puedan facilitar cadenas de deserialización explotables.
• Monitorear conexiones DRDA inesperadas, errores de deserialización, excepciones anómalas y reinicios de las aplicaciones.
• Validar la versión desplegada y comprobar que las conexiones estén cifradas tras aplicar las medidas correctivas.

Fuente: Bafing

1. Antecedentes:

Se reportó una vulnerabilidad crítica de tipo Use-After-Free (CWE-416) en el componente de red de Mozilla Firefox. La falla deriva de una gestión incorrecta de memoria y podría permitir a un atacante remoto evadir el sandbox y los mecanismos de aislamiento entre sitios. La explotación requiere que la víctima interactúe con contenido web especialmente diseñado, como una página maliciosa. No exige privilegios previos y presenta baja complejidad de ataque. Su explotación exitosa podría habilitar la ejecución de código arbitrario y comprometer la confidencialidad, integridad y disponibilidad del sistema. La vulnerabilidad registra una puntuación CVSS v3.1 de 9.6 (Crítica).



3. Productos afectados:

• Mozilla Firefox: versiones anteriores a la 158.
• Mozilla Firefox ESR: versiones anteriores a la 153.5.

4. Recomendaciones:

• Actualizar Mozilla Firefox a la versión 158 o posterior y Firefox ESR a la versión 153.5 o posterior, según la rama utilizada.
• Verificar las versiones instaladas en las estaciones de trabajo y gestionar el despliegue mediante las herramientas corporativas de actualización.
• En distribuciones Linux que utilicen paquetes RPM, confirmar que los repositorios y paquetes instalados incluyan la corrección de seguridad correspondiente.
• Mientras se completa la actualización, restringir el acceso a sitios web no confiables mediante los controles de navegación disponibles.
• Supervisar alertas del EDR y eventos anómalos asociados al navegador, especialmente ante visitas a sitios sospechosos.
• Validar la aplicación de las actualizaciones y mantener un inventario actualizado de las versiones desplegadas.

Fuente: Bafing

1. Antecedentes:



Se identificó una vulnerabilidad crítica de autorización en Progress MarkLogic Server, asociada a una gestión inadecuada de privilegios (CWE-269) en operaciones de administración de bosques (forest management). Un atacante remoto con permisos para gestionar bosques podría abusar de esta deficiencia para crear una cuenta administrativa no autorizada y persistente. Esto podría otorgarle control administrativo sobre el servidor afectado y facilitar el acceso a recursos y funciones privilegiadas. La vulnerabilidad tiene una puntuación CVSS v3.1 de 9.9 (Crítica), según la evaluación del fabricante.

3. Productos afectados:

• Progress MarkLogic Server 11.x: versiones anteriores a la 11.3.7.
• Progress MarkLogic Server 12.x: versiones anteriores a la 12.1.0.

4. Recomendaciones:

• Actualizar Progress MarkLogic Server a la versión 11.3.7 o 12.1.0, según la rama instalada.
• Restringir los permisos de gestión de bosques al personal y las cuentas de servicio que realmente los requieran.
• Auditar las cuentas administrativas existentes y eliminar o investigar aquellas que no estén autorizadas.
• Revisar los registros de auditoría para detectar cambios inusuales en usuarios, roles y privilegios.
• Verificar la configuración de control de acceso y aplicar el principio de mínimo privilegio.
• Confirmar la versión instalada y documentar la aplicación efectiva de la actualización de seguridad.

Fuente: Bafing

1. Antecedentes:

Se identificó una vulnerabilidad de autorización incorrecta en Zoom Workplace para Android, asociada al procesamiento de un esquema de URL personalizado. La falla podría permitir que un atacante sin autenticación previa provoque una escalada de privilegios mediante acceso a la red. Una explotación exitosa podría afectar la seguridad del dispositivo y exponer información accesible desde la aplicación. La vulnerabilidad está clasificada con severidad alta, por lo que se recomienda priorizar la actualización en los dispositivos corporativos que utilicen esta aplicación.

3. Productos afectados:

• Zoom Workplace para Android: versiones anteriores a la 7.2.1.

4. Recomendaciones:

• Actualizar Zoom Workplace para Android a la versión 7.2.1 o posterior, conforme a las versiones corregidas por el proveedor.
• Verificar las versiones instaladas en dispositivos corporativos administrados y personales autorizados para uso laboral.
• Aplicar políticas de administración de dispositivos móviles (MDM/UEM) para controlar las versiones de las aplicaciones.
• Restringir el uso de redes no confiables y reforzar los controles de seguridad en dispositivos móviles.
• Supervisar comportamientos anómalos de la aplicación y eventos sospechosos en los dispositivos afectados.
• Confirmar la instalación de la actualización y mantener un inventario actualizado de las aplicaciones desplegadas.

Fuente: Bafing

Central: +511 2259900 anexo 110

Equipo de Marketing: marketing@bafing.com o al +51 969454618

Command Center y SOC: helpdesk@bafing.com o al +51 971500877