La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) el 2 de febrero agregado<\/a> dos fallas de seguridad en su Cat\u00e1logo de Vulnerabilidades Explotadas Conocidas (KEV), citando evidencia de explotaci\u00f3n activa.<\/p>\n La primera de las dos vulnerabilidades es CVE-2022-21587<\/a> (puntuaci\u00f3n CVSS: 9,8), un problema cr\u00edtico que afecta a las versiones 12.2.3 a 12.2.11 del producto Oracle Web Applications Desktop Integrator.<\/p>\n “Oracle E-Business Suite contiene una vulnerabilidad no especificada que permite que un atacante no autenticado con acceso a la red a trav\u00e9s de HTTP comprometa a Oracle Web Applications Desktop Integrator”, CISA dicho<\/a>.<\/p>\n El problema fue abordado por Oracle como parte de su Actualizaci\u00f3n de parche cr\u00edtico<\/a> lanzado en octubre de 2022. No se sabe mucho sobre la naturaleza de los ataques que explotan la vulnerabilidad.<\/p>\n La segunda falla de seguridad que se agregar\u00e1 al cat\u00e1logo de KEV es CVE-2023-22952<\/a> (puntaje CVSS: 8.8), que se relaciona con un caso de falta de validaci\u00f3n de entrada en SugarCRM que podr\u00eda resultar en la inyecci\u00f3n de c\u00f3digo PHP arbitrario. El error se solucion\u00f3 en las versiones 11.0.5 y 12.0.2 de SugarCRM.<\/p>\n El desarrollo se produce una semana despu\u00e9s de que CISA tambi\u00e9n agreg\u00f3 CVE-2017-11357<\/a> (puntuaci\u00f3n CVSS: 9,8), una grave vulnerabilidad de seguridad que afecta a la interfaz de usuario de Telerik y que podr\u00eda facilitar la carga de archivos arbitrarios o la ejecuci\u00f3n remota de c\u00f3digo.<\/p>\n A la luz de los intentos de explotaci\u00f3n activos, las agencias del Poder Ejecutivo Civil Federal (FCEB) en los EE. UU. deben aplicar los parches antes del 23 de febrero de 2023.<\/p>\n <\/p>\n