La Agencia de Seguridad de Infraestructura y Ciberseguridad de los Estados Unidos (CISA) el miércoles adicional dos fallos de seguridad que afectan a Microsoft Office y Hewlett Packard Enterprise (HPE) OneView y a sus conocidas vulnerabilidades explotadas ( KEV ), en el que se citan pruebas de explotación activa.
Las vulnerabilidades se enumeran a continuación:
- CVE-2009-0556 (Puntuación CVSS: 8.8) - A vulnerabilidad de inyección de código en Microsoft Office PowerPoint, que permite a los atacantes remotos ejecutar código arbitrario mediante la corrupción de la memoria
- CVE-2025-37164 (Puntuación CVSS: 10,0): una vulnerabilidad de inyección de código en HPW OneView que permite a un usuario remoto no autenticado ejecutar código de forma remota
Detalles de CVE-2025-37164 surgido el mes pasado, cuando HPE dijo que la vulnerabilidad afectaba a todas las versiones del software anteriores a la versión 11.00. La compañía también puso a disposición revisiones para las versiones 5.20 a 10 de OneView.
El alcance y el origen de los ataques dirigidos contra las dos fallas no están claros actualmente, y no parece haber informes públicos que hagan referencia a su explotación en la naturaleza. Sin embargo, un informe publicado por eSentire el 23 de diciembre de 2025 reveló la publicación de un detallado exploit de prueba de concepto (PoC) relacionado con el CVE-2025-37164.
«La disponibilidad pública del código de explotación de PoC aumenta significativamente el riesgo para las organizaciones que ejecutan versiones afectadas de la aplicación», dijo eSentire dijo . «Como la vulnerabilidad afecta a todas las versiones anteriores a la 11.0, se recomienda encarecidamente a las organizaciones que apliquen las actualizaciones necesarias para mitigar el riesgo potencial de explotación».
De conformidad con Directiva operativa vinculante (BOD) 22-01 , se recomienda a las agencias del Poder Ejecutivo Civil Federal (FCEB) que apliquen las correcciones necesarias antes del 28 de enero de 2026 para proteger sus redes contra las amenazas activas.
Post generado automaticamente, fuente oficial de la información: THEHACKERNEWS