La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado una falla de seguridad recientemente reparada en los productos .NET y Visual Studio de Microsoft a su catálogo de vulnerabilidades explotadas conocidas (KEV). Para mitigar esta vulnerabilidad, se recomienda a los usuarios que apliquen actualizaciones de seguridad lo antes posible.

¿Cuál es la amenaza?

Registrada como CVE-2023-38180, esta falla de alta gravedad puede provocar denegación de servicio (DoS) en .NET y Visual Studio cuando se explota, lo que resulta en una pérdida total de disponibilidad.
Microsoft señaló que esta vulnerabilidad de día cero se puede explotar de forma remota y que no requiere interacción ni privilegios del usuario según la existencia de una prueba de concepto (PoC) en su aviso. Como .NET y Visual Studio son componentes importantes de un entorno de desarrollo integrado (IDE) que proporciona herramientas de productividad de desarrollo y capacidades de depuración, y se utilizan para crear muchas aplicaciones diferentes, una puntuación CVSS alta de 7,5 para esta vulnerabilidad la convierte en una vulnerabilidad digna de mención. .NET y Visual Studio. Las versiones afectadas incluyen ASP.NET Core 2.1, .NET 6.0, .NET 7.0 y Microsoft Visual Studio 2022, versiones 17.2, 17.4 y 17.6.

Recomendaciones

Barracuda MSP recomienda tomar las siguientes acciones para ayudar a mitigar los riesgos causados por esta vulnerabilidad:

• Aplique correcciones proporcionadas por el proveedor para la vulnerabilidad CVE-2023-38180.
• Actualice periódicamente sus sistemas de seguridad y ejecute análisis en busca de cualquier actividad maliciosa o sospechosa.
• Aplique mitigaciones según las instrucciones del proveedor o suspenda el uso del producto si las mitigaciones no están disponibles.

Referencias:

• https://blog.barracuda.com/2023/08/18/cybersecurity-threat-advisory–microsoft–net-vulnerability
• https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-38180
• https://thehackernews.com/2023/08/cisa-adds-microsoft-net-vulnerability.html