Investigación de Seguridad de JFrog: Principales Hallazgos de 2024

Incremento Acelerado de Vulnerabilidades en 2024

Tribuna – A continuación, exploramos los hallazgos más relevantes del equipo de JFrog Security Research en 2024:

El año pasado, se reportaron 29,000 CVE (Vulnerabilidades y Exposiciones Comunes). Sin embargo, este año, la cifra ha superado las expectativas.

“Más de 40,000 CVE han sido documentados en 2024, reflejando un aumento del 38% respecto a 2023.”

Por ello, JFrog Security Research ha sido fundamental en detectar y analizar amenazas serias. También han desarrollado tácticas para proteger el software contra vulnerabilidades y malware.

Descubrimientos Claves en Seguridad Informática

El 29 de marzo, un código dañino permitió acceso SSH no autorizado en XZ Utils. Este paquete es común en varias distribuciones de Linux. La comunidad open source se mostró alarmada, dado que se creía que XZ Utils era un proyecto seguro y bien controlado.

El atacante, con una reputación establecida, utilizó código ofuscado para evitar ser detectado.

Para más detalles sobre esta investigación, haga clic AQUÍ.

Vulnerabilidades en Plataformas de Aprendizaje Automático

Recientemente, el equipo de JFrog analizó ataques en plataformas MLOps open source. Los modelos pueden ser el objetivo más vulnerable. Esto puede resultar en la ejecución de código, aun cuando los usuarios sean conscientes de los riesgos.

Identificamos dos tipos de vulnerabilidades en estas plataformas: inherentes y de implementación.

Si desea conocer más sobre el tema “De MLOps a MLOops – Exponiendo la Superficie de Ataque”, haga clic AQUÍ.

Problemas de Seguridad en Docker Hub y GitHub

En Docker Hub, se halló que alrededor de 4.6 millones de repositorios no contienen imágenes, solo documentación. Muchos de estos repositorios ocultan intenciones maliciosas. Intentan engañar a los usuarios para que visiten sitios de phishing.

Además, se reportó una fuga de tokens de acceso en GitHub. Esto afecta a repositorios de Python y PyPI. Es crucial que los usuarios sean cuidadosos con sus credenciales.

Para más información sobre esta fuga, haga clic AQUÍ.

Vulnerabilidad Crítica en Vanna.AI

La biblioteca Vanna.AI simplifica la generación de consultas SQL. Sin embargo, su método “ask” puede llevar a ejecución de código no deseada. Esto representa un riesgo significativo para los usuarios.

JFrog ha asignado al problema el CVE-2024-5565, con un CVSS de 8.1.

Para profundizar en este tema, consulte nuestro blog.

JFrog está comprometido con la vigilancia de amenazas en el mundo open source. Por ello, es vital que desarrolladores y usuarios permanezcan informados y adopten medidas de seguridad adecuadas.