El equipo de investigación de amenazas de CloudSEK está monitoreando de cerca un ataque de ransomware significativo que ha impactado el ecosistema bancario de la India, afectando a bancos y proveedores de pagos. Esta vulnerabilidad crítica en Jenkins, identificada como CVE-2024-23897, fue el punto de entrada de los atacantes que comprometieron a Brontoo Technology Solutions, un colaborador clave con C-EDGE, una empresa conjunta entre TCS y SBI.
Análisis de CVE-2024-23897
La vulnerabilidad CVE-2024-23897 en Jenkins representa un riesgo significativo, ya que puede ser explotada para acceder a archivos internos sensibles, como claves privadas, en servidores mal configurados. Se sospecha que el acceso inicial fue vendido por un actor de amenazas conocido como IntelBroker a un grupo de ransomware llamado RansomEXX.
Aunque el ataque es reciente, la vulnerabilidad ya había sido identificada a finales de enero por el equipo de investigación de Sonar. CVE-2024-23897 permite a usuarios no autenticados leer fragmentos de cualquier archivo en el sistema de archivos del servidor afectado. Este problema surge debido a una validación inadecuada de las entradas proporcionadas por los usuarios al procesar comandos de la CLI.
La explotación exitosa de esta vulnerabilidad puede resultar en la filtración de datos sensibles, ejecución de comandos no autorizados y facilitar ataques de ransomware. La falla radica en que el parser de comandos de Jenkins no desactiva por defecto una función integrada que permite la ejecución de comandos a través de la CLI. Esto permite que un atacante, mediante solicitudes POST al endpoint /cli, suba y ejecute comandos arbitrarios en el sistema objetivo.
Línea de Tiempo de la vulnerabilidad y ataques relacionados
- 2018: Emergencia inicial de RansomEXX, conocido entonces como Defray777.
- 2020: Rebranding a RansomEXX, con un enfoque renovado en grandes organizaciones.
- Enero 2024: El equipo de investigación de vulnerabilidades de Sonar ha descubierto vulnerabilidades de seguridad en Jenkins, el software líder de integración continua e implementación continua (CI/CD) de código abierto.
- Marzo 2024: El grupo de cibercriminales RansomEXX lleva a cabo un ataque de ransomware contra el Ministerio de Defensa de Perú, demostrando su capacidad para infiltrarse en infraestructuras críticas.
- Junio 2024: Se detecta la vulnerabilidad CVE-2024-23897 en el servidor Jenkins, aunque en este momento no se había reportado su explotación activa.
- Julio 2024: La vulnerabilidad es parcheada en las versiones más recientes de Jenkins, pero aún no se emiten alertas masivas sobre su criticidad.
- Agosto 2024: Brontoo Technology Solutions, colaborador de C-Edge Technologies en India, sufre un ataque de ransomware perpetrado por RansomEXX, quienes aprovechan la vulnerabilidad CVE-2024-23897 para infiltrarse en sus sistemas. Este ataque afecta gravemente a varios bancos regionales y cooperativos en India.
- Agosto 2024 (post-ataque): Se emite una alerta global sobre la criticidad de CVE-2024-23897, destacando su capacidad para comprometer sistemas mediante comandos maliciosos ejecutados a través de la CLI de Jenkins. Por otra parte Juniper Networks recomienda a sus clientes la actualización inmediata de Jenkins y la implementación de medidas de seguridad adicionales, como las proporcionadas por sus cortafuegos de próxima generación SRX Series.
Implicaciones para la Industria
- Necesidad de Parches y Actualizaciones Regulares: Este incidente pone de manifiesto la importancia de mantener el software actualizado. La explotación de CVE-2024-23897 demuestra cómo las versiones desactualizadas pueden abrir la puerta a ataques devastadores.
- Gestión Rigurosa de Configuraciones: La mala configuración del servidor Jenkins en Brontoo Technology Solutions fue el punto de entrada para los atacantes. Es esencial que las organizaciones implementen prácticas de gestión de configuración estrictas y auditen regularmente sus sistemas para evitar estas brechas de seguridad.
- Adopción de Arquitecturas de Confianza Cero: La seguridad perimetral tradicional ya no es suficiente. Adoptar una arquitectura de Confianza Cero, en la que ninguna entidad es confiada por defecto, mejora la protección al verificar continuamente la identidad de todos los usuarios y dispositivos.
- Preparación para la Respuesta a Incidentes: La rápida respuesta a un ataque de ransomware puede limitar los daños y reducir el tiempo de inactividad. Es crucial que las organizaciones tengan un plan robusto de respuesta a incidentes que se practique y actualice con regularidad.
- Seguridad en la Cadena de Suministro: Este ataque resalta la importancia de evaluar las prácticas de seguridad de los socios en la cadena de suministro, garantizando que cumplan con estrictos estándares de seguridad.
Recomendaciones
Para mitigar esta amenaza, Juniper Networks recomienda a los usuarios actualizar sus servidores Jenkins a la versión más reciente disponible y aplicar las medidas de seguridad adecuadas. Además, los clientes que utilizan los cortafuegos de próxima generación SRX Series de Juniper con licencia IDP están protegidos contra esta vulnerabilidad mediante la firma de seguridad «HTTP: CTS: JENKINS-RCE-CLI-PARS».
La vulnerabilidad CVE-2024-23897 es un recordatorio crítico de los peligros que representan las vulnerabilidades no parcheadas en entornos tecnológicos complejos y de la importancia de mantener una postura de seguridad proactiva.
Referencias
© 2026 CronUp Ciberseguridad. Todos los derechos reservados. Este contenido está protegido por la Ley Nº 17.336. Se permite su uso informativo citando la fuente y enlazando el artículo original. Su reproducción o uso sin atribución constituye infracción.
