El catálogo KEV como señal

El catálogo KEV lo mantiene CISA y se presenta como la fuente de las vulnerabilidades de las que se tiene constancia de explotación en el mundo real. Cada entrada trae, entre otros campos, la fecha de alta, una fecha límite de corrección (pensada para agencias federales de EE. UU., que para otros equipos es solo una referencia), y una marca de si se sabe de su uso en campañas de ransomware.

Que un aviso esté en el catálogo es un hecho observado, no una probabilidad. Pero el catálogo es una lista parcial: faltan avisos que se explotan sin que se haya comunicado, y por eso no estar en él no equivale a estar a salvo.

El extracto trae una columna versiones_afectadas: «<4.2.0» significa toda versión anterior a la 4.2.0, y la propia 4.2.0 ya está corregida. Para saber si una entrada te afecta hay que comparar esa regla con la versión instalada en el inventario y mirar en qué entorno está. Busca la entrada que usa ransomware, cuyo producto está en versión afectada y está en producción.

Una entrada del catálogo en un producto que solo corre en pruebas no pide lo mismo que una en producción: sigue siendo un fallo con explotación observada, pero el daño posible es otro. Eso no significa ignorarla; significa saber dónde está. Localiza la entrada cuyo producto afectado vive solo en el entorno de pruebas.

El catálogo propone una fecha límite para cada entrada. Para Huarango es una referencia, pero conviene saber cuánto margen deja: es la diferencia entre la fecha de alta y el plazo de referencia, en días. Calcúlala para la entrada de la librería de reportes.

Dos entradas del extracto, la de la VPN y la del servidor de archivos, tienen una versión instalada igual al límite de la regla de versiones afectadas, y esa versión ya trae la corrección. Un compañero propone cerrar de urgencia las cinco entradas porque «están en el catálogo».