La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha agregado una falla de seguridad que afecta a la grabadora de video en red (NVR) Digiever DS-2105 Pro a su catálogo de vulnerabilidades explotadas conocidas (KEV), citando evidencia de explotación activa.
Esta vulnerabilidad se rastrea como CVE-2023-52163 (puntuación CVSS: 8,8) y está relacionada con un caso de inyección de comando que permite la ejecución remota de código después de la autenticación.
«Digiever DS-2105 Pro tiene una vulnerabilidad de autenticación insuficiente que podría permitir la inyección de comandos a través de time_tzsetup.cgi», dijo CISA.
La incorporación de CVE-2023-52163 al catálogo KEV se produce en medio de múltiples informes de Akamai y Fortinet sobre la explotación de la falla por parte de actores de amenazas para distribuir botnets como Mirai y ShadowV2.
Según Ta-Lunyen, investigador de seguridad de TXOne Research, esta vulnerabilidad, junto con un error de lectura de archivos arbitrario (CVE-2023-52164, puntuación CVSS: 5.1), sigue sin parchearse ya que el dispositivo ha alcanzado el estado de fin de vida útil (EoL).
Un exploit exitoso requeriría que un atacante iniciara sesión en el dispositivo y ejecutara una solicitud diseñada. Sin un parche, le recomendamos que evite exponer su dispositivo a Internet y cambie el nombre de usuario y la contraseña predeterminados.
CISA también recomienda que las agencias del Poder Ejecutivo Civil Federal (FCEB) apliquen las mitigaciones necesarias para proteger sus redes de amenazas activas o retirar sus productos antes del 12 de enero de 2025.