Expertos en seguridad informática reportan el hallazgo de una vulnerabilidad crítica en la versión para equipos de escritorio de ownCloud, una aplicación que permite el almacenamiento en línea y el mantenimiento de aplicaciones en línea. Acorde al reporte, la explotación exitosa de esta falla permitiría la ejecución de código arbitrario en el sistema de las víctimas.

A continuación se presenta un reporte detallado de la falla reportada, además de su clave de identificación CVE y su puntaje de severidad acorde al Common Vulnerability Scoring System (CVSS).

Identificada como CVE-2020-28646, esta falla existe debido a que la aplicación carga bibliotecas DLL de manera insegura, por lo que un hacker malicioso remoto podría colocar un archivo .dll especialmente diseñado en un recurso compartido de archivos SMB remoto, engañar a la víctima para que abra un archivo asociado con la aplicación vulnerable y así conseguir la ejecución de código arbitrario.

La falla es considerada crítica por la comunidad de la seguridad informática, por lo que recibió un puntaje de 8.8/10 en la escala CVSS.

Según el reporte, la falla reside en las siguientes versiones de ownCloud para equipos de escritorio: 1.8.3, 1.8.3-rc3, 1.8.4, 2.0.0, 2.0.0-beta1, 2.0.0-beta2, 2.0.0-rc1, 2.0.0-rc2, 2.0.1, 2.0.2, 2.0.2-beta1, 2.0.2-oem, 2.0.2-rc1, 2.0.2-rc2, 2.1.0, 2.1.0-beta1, 2.1.0-rc1, 2.1.1, 2.1. 1-beta1, 2.1.1-rc1, 2.1.1-rc2, 2.2.0, 2.2.0-beta1, 2.2.0-beta2, 2.2.0-rc1, 2.2.1, 2.2.1-rc1, 2.2. 2, 2.2.3, 2.2.3-beta1, 2.2.3-rc1, 2.2.4, 2.3.0, 2.3.0-beta1, 2.3.0-rc1, 2.3.0-rc2, 2.3.0-rc3, 2.3.1, 2.3.1-rc1, 2.3.2, 2.3.2-rc1, 2.3.3, 2.3.3-rc1, 2.3.4, 2.4.0, 2.4.0-alpha1, 2.4.0-beta1, 2.4.0-rc1, 2.4.0-rc2, 2.4.1, 2.4.1-rc1, 2.4.2, 2.4.2-rc1, 2.4.3, 2.4.3-oem, 2.4.3-rc1, 2.5. 0, 2.5.0-alfa, 2.5.0-alfa1, 2.5.0-beta1, 2.5.0-beta2, 2.5.0-oem, 2.5.0-rc1, 2.5.1, 2.5.1-rc2, 2.5. 2, 2.5.2-rc2, 2.5.3, 2.5.4, 2.5.4-rc1, 2.6.0, 2.6.0-alpha1, 2.6.0-alpha2, 2.6.0-beta1, 2.6.0-rc1, 2.6.0-rc2, 2.6.0-rc4, 2.6.1, 2.6.2 y 2.6.3.

Si bien esta falla puede ser explotada por actores de amenazas remotos no autenticados a través de la red local, los expertos en seguridad informática no han detectado intentos de explotación activa o variantes de malware asociadas con el ataque.

Los parches de seguridad ya están disponibles, por lo que se recomienda a los usuarios de implementaciones afectadas actualizar a la brevedad. Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).