SG36

CIBERSEGURIDAD 44 nivel mucho más profundo, por ejem- plo, en el diseño y probablemente en el nivel de código, son difíciles y cos- tosos de corregir), etc., en todo lugar: en (diseño, implementación, confi- guración, despliegue, explotación de software, firmware, hardware), en APPs, en algoritmos, protocolos, ingeniería e implementación de sistemas, en APIs, en sistemas operativos, en procesos organizacionales, en infraestructuras, en dispositivos de red (la vulnerabilidad CVE-2020-8515 aparecida en los rou- ter Draytek-Vigor permite la ejecución remota de código, lo que posibilita a un malware no autenticado ejecutar código arbitrario con privilegios de root vía meta-caracteres shell), en personas (la ingeniería social permite engañar a las personas para que cometan fallos (foco de vulnerabilidades e infecciones), por ejemplo utilizado (en correo elec- trónico, IM, RRSS, SMS, chat, spam, etc., a veces la dirección del remitente del correo aunque nos parezca correcta y que viene de alguien conocido puede estar falsificada ya que puede incluir caracteres no imprimibles/invisibles lo que significa que viene de otro sitio -del ciberatacante-), bajo el término de: phishing (opera globalmente sin discriminación enviando a todos), spear- phishing (está dirigido a un grupo de personas o empresas), whaling (está dirigido a un grupo más reducido de ejecutivos de alto nivel de empresas), vishing (el engaño opera utilizando con- versaciones de voz, por ejemplo, bajo VoIP), smshing (el engaño se realiza utilizando SMS), tailgating (el engaño se efectúa en persona. Se utiliza ama- bilidad, ‘mano izquierda’, sostener una puerta a alguien con credenciales que accede primero a un sitio restringido), shoulder-surfing (consiste en espiar y mirar disimuladamente por encima del hombro lo que teclea la víctima frente a un ATM o su móvil), dumpster-diving (consiste en revisar los contenedores de basuras en busca de información confidencial como cartas con números de tarjetas, contraseñas, etc.), etc., que cuando se explotano comprometendan lugar a una brecha en ciberseguridad. Ventana de exposición de una vulne- rabilidad es el intervalo de tiempo que abarca las siguientes zonas temporales: el inicio es el descubrimientode una vulne- rabilidad 0-day (nivel de riesgo elevado), tras un cierto tiempo aparece el instante de tiempo en el que se hace pública la vulnerabilidad (nivel de riesgo algo mayor), tras un cierto tiempo aparece el instante en el que la vulnerabilidad la conoce el fabricante de la entidad con vulnerabilidad (nivel de riesgo algo mayor), tras un cierto tiempo aparece el instante en el que el fabricante a veces notifica a sus clientes (nivel de riesgo algomenor), tras un cierto tiempo aparece el instante donde se actualizan herramientas de ciberseguridad (firmas AV, IDS, módulos de detección de vul- nerabilidades, etc.) (nivel de riesgo algo menor), tras un cierto tiempo aparece el instante en el que se publica el parche (nivel de riesgo menor), tras un cierto tiempo aparece el instante en el que la existencia del parche es ampliamente conocida (nivel de riesgo algo menor), por último, tras un cierto tiempo aparece el instante donde el parche se instala en todos los sistemas afectados, pero cuidado si el dispositivo de computación afectado posee un sistema operativo muy antiguo posiblemente el parche no sirva o no se pueda aplicar. El uso de vulnerabilidades no críticas, ofrecen un beneficio al explotarlas ya que justamente al no ser críticas están en menor prioridad en el proceso de poner remedios. Algunos ejemplos de vulnerabilidades software son: ‘world- writeable password file’ (permiten la modificación de datos críticos del sistema); ‘phf’ (permiten la ejecución del comando remoto como usuario ‘nobody’); ‘rpc.ttdbserverd’ (permiten la ejecución del comando remoto como root). La vulnerabilidad ‘Less.js’ causa que el sitio Web fugue claves secretas, por ejemplo, enAWS (AmazonWebServices). Las siglas CVE (Common Vulnerabilities Exposures) hacen referencia a un están- dar para identificar vulnerabilidades http://cve.mitre.org. La vulnerabilidad CVE-2021-31956 (posee una puntuación de impacto (de 0 a 10) CVSS (Common Vulnerability Scoring System) = 7,8) posi- bilita una elevación de privilegios de Windows NTFS. La vulnerabilidad CVE- 2021-31955 posibilita la divulgación de información del kernel deWindows. La vulnerabilidad CVE-2021-33742 (posee una puntuación de impacto CVSS = 7,5) posibilita la ejecución remota de código de la plataformaWindows MSHTML. La vulnerabilidad CVE-2021-1914/CWE-835 posibilita un lazo con condiciónde salida no alcanzable (‘lazo infinito’). La vulnera- bilidad CVE-2017-11882 hace referencia a que el componente deMicrosoft Office ‘Microsoft Equation Editor’ contiene una vulnerabilidad de pila de buffer-over- flow que permite RCE (Remote Code Execution) en un sistema vulnerable. La vulnerabilidad CVE-2020-5902 afecta al interfaz TMUI (Traffic Management User Interface) también denominado utilidad de configuración permite que cualquier usuario con acceso remoto al TMUI ejecute comandos del sistema y obtenga control completo sobre el sistema vulnerable. La vulnerabilidad en el ‘PHP PackageManager’ deja las APPs Web abiertas a abusos. La vulnerabilidad ‘node.js’ permite un secuestro de domi-