La aparición de vulnerabilidades fabricadas
Recientemente, las bases de datos de vulnerabilidades recibieron informes sobre fallos críticos en SQLite. Estas vulnerabilidades ficticias presentaban puntuaciones de gravedad que alcanzaban un asombroso 9,8. Sin embargo, inspecciones rigurosas del código fuente no lograron corroborar ni un solo defecto alegado. Además, los investigadores descubrieron funciones inexistentes y números de línea imposibles en los informes. Los ejemplos de explotación proporcionados no provocaron ni fallos del sistema ni fugas de memoria. JFrog publicó posteriormente estos sorprendentes resultados de la investigación el 30 de julio.
Seis entradas específicas de SQLite pertenecían a una colección más amplia de 55 avisos. Un nuevo y poco conocido repositorio de GitHub albergaba esta dudosa compilación. En consecuencia, estos datos fabricados se infiltraron en la Base de Datos Nacional de Vulnerabilidades (NVD) de Estados Unidos. La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) añadió entonces sus propias métricas de gravedad. Estos registros recibieron puntuaciones CVSS que oscilaban entre 7,5 y 9,8. En definitiva, se hicieron pasar perfectamente por advertencias sobre fallos graves en la gestión de memoria.
Contaban con certificados de procedencia válidos, y el malware se ejecutaba cuando se cargaban los módulos afectados, no en el momento de la instalación.
Leer artículo →Una solicitud de extracción maliciosa puede eludir las revisiones de código sin problemas. Días después, obliga a un asistente de IA a extraer secretamente info...
Leer artículo →Recientemente, ejecutivos de Microsoft publicaron una entrada oficial en su blog donde detallan una experiencia de búsqueda mejorada para los participantes del...
Leer artículo →