Resumen de Vulnerabilidades — Segundo Trimestre 2017

Continuando con nuestro acostumbrado resumen trimestral de vulnerabilidades, presentamos una recopilación sobre algunos aspectos importantes sobre esta materia durante los meses de abril, mayo y junio.

Es importante destacar que durante este trimestre se produjeron algunos eventos importantes de seguridad, como fue el caso de los ataques del ransomware Wannacry y la amenaza equivalente para el sistema operativo linux, Sambacry. A través de estos ataques se logró impactar la seguridad de miles de computadoras a nivel mundial, afectando los servicios inclusive de grandes empresas del rubro tecnológico. Lo curioso de esto, es que la efectividad de estos ataques se lograba mediante la explotación de vulnerabilidades que ya habían sido reportadas y que tenían asignadas su código CVE (Common Vulnerabilities and Exposures).

Vulnerabilidades (abril — mayo — Junio) 2017

Un total de 3.607 vulnerabilidades se registraron en este trimestre, un número muy similar a la cantidad de vulnerabilidades del trimestre pasado según el resumen que hicimos en el primer trimestre. En tan solo seis meses de lo que va de este año, ya se superó el total de vulnerabilidades reportadas del año 2016.

Esto nos hace pensar que este año posiblemente sea el año con mayor cantidad de vulnerabilidades reportadas superando al año 2014 donde se reportaron 7.946 vulnerabilidades.

Tipos de Vulnerabilidades

Las vulnerabilidades pertenecientes a la categoría de denegación de servicio continúan en el primer puesto como las más reportada del segundo trimestre. Este comportamiento viene manteniéndose desde el año 2016. Hay un pequeño descenso en la categoría de Ejecución de código de 2%, mientras que las categorías de Overflow y Obtención de información suben 1% y 2% respectivamente. Esta información nos puede ayudar a entender cuáles son los tipos de ataques más utilizados por los atacantes.

Distribución por tipos de vulnerabilidades — 2do trimestre 2017

Distribución del impacto de las Vulnerabilidades: Impacto según CVSS Score

El CVSS Score permite estimar el impacto y cuantificar la severidad de una vulnerabilidad. A continuación vemos la distribución de las vulnerabilidades según su nivel de impacto:

Distribución de impacto de las vulnerabilidades — 2do trimestre 2017

Existe un aumento considerable entre las vulnerabilidades Críticas (9–10) y vulnerabilidades Altas comprendidas entre los score 6–7 y 8–9, muchas tienen que ver con los boletines de seguridad de Google y Microsoft en los meses de abril y junio.

Top 10 Vendors

Hemos sumado en nuestro resumen el Top 10 Vendors, de esta forma podemos ir analizando trimestralmente los vendors con mayor cantidad de vulnerabilidades reportadas.

Top 10 vendors con mas vulnerabilidades — 2do trimestre 2017

Como se visualiza en la gráfica, Google encabeza la lista de este top 10 con 225 vulnerabilidades reportadas en este segundo trimestre, un peldaño atrás le sigue Microsoft con 218, otros grandes como Apple, Oracle, IBM y Cisco hacen presencia en este top 10. Un vendor no acostumbrado a verse en estas posiciones como lo es Imagemagick, nos sorprende con el 9no puesto con 73 vulnerabilidades reportadas.

No te olvides, si utilizas uno o varios productos de los vendors anteriores, puedes visitar HowlerMonkey y consultar todas las vulnerabilidades asociadas a los mismos.