CyberArk, un proveedor líder en soluciones de gestión de identidades privilegiadas (PAM), ha emitido dos nuevos boletines de seguridad críticos, CA25-33 y CA25-32, alertando sobre vulnerabilidades en sus productos Vault Self-Hosted y Central Credential Provider (CCP). Estos fallos, catalogados como de alta severidad, podrían impactar directamente la disponibilidad del servicio y la confidencialidad de las credenciales gestionadas.
Fallas de Disponibilidad y Confidencialidad en CyberArk
Ambas vulnerabilidades requieren una atención inmediata por parte de los administradores de PAM, ya que comprometen la funcionalidad central de la gestión de credenciales privilegiadas.
CA25-33: Riesgo de Denegación de Servicio (DoS) en Vault Self-Hosted
- Afectación: Una vulnerabilidad con una puntuación CVSS de 8.2 (alta) que permite un ataque de Denegación de Servicio (DoS), potencialmente bloqueando el acceso de los usuarios a la aplicación principal de Vault.
- Productos Afectados: Vault Self-Hosted en todas sus versiones activas.
- Solución: Se requiere la actualización inmediata a las versiones parcheadas:
- Vault 14.6 14.6.2
- Vault 14.2 14.2.4
- Vault 14.0 14.0.5
- Nota Importante: No existen mitigaciones temporales para esta falla. Los clientes de PAM on Cloud deben ejecutar manualmente el proceso de actualización en las imágenes de AWS o Azure que utilicen.
CA25-32: Exposición Potencial de Información en Central Credential Provider (CCP)
- Afectación: Una falla con una puntuación CVSS de 7.1 (alta) que podría llevar a la exposición de información sensible dentro del CCP. El CCP es vital para la distribución segura de credenciales a aplicaciones.
- Productos Afectados: CCP versiones 14.0 y 14.2, incluyendo sus parches anteriores a 14.2.4.
- Solución: Actualizar el CCP y su Credential Provider (CP) a la versión 14.2.4, disponible en el portal de CyberArk. El Application Server Credential Provider (ASCP) también requiere esta actualización.
- Riesgo: Un compromiso del CCP podría exponer credenciales que son utilizadas por múltiples aplicaciones en la organización.
Recomendaciones
Aunque CyberArk no ha detectado explotación activa de estas vulnerabilidades en entornos de clientes, la naturaleza crítica de estos sistemas exige una respuesta prioritaria.
- Aplicación de Parches: Descargar e instalar los parches correspondientes para Vault Self-Hosted y CCP según la versión específica utilizada.
- Verificación de Componentes: Asegurar la alineación de versiones en todos los componentes asociados, incluyendo el Disaster Recovery Vault, PAReplicate y EVD.
- Refuerzo de Seguridad: Reforzar las políticas de complejidad de contraseñas para todas las cuentas del sistema (humanas y no humanas) configuradas en el archivo passparm.ini.
- Monitoreo: Consultar el portal oficial de CyberArk y sus boletines técnicos para obtener las últimas respuestas a preguntas frecuentes y actualizaciones sobre el proceso de mitigación.
