Security

Problema En entornos de homelab o producción ligera es frecuente ejecutar máquinas virtuales dentro de otras máquinas virtuales (nested virtualization) para probar hipervisores, CI/CD o laboratorios de seguridad. Cuando KVM está habilitado con la opción nested=1, el código de shadow paging del kernel se vuelve un punto crítico: una vulnerabilidad en esa ruta puede provocar un host crash sin necesidad de privilegios de root dentro del guest. La vulnerabilidad CVE‑2026‑53359, conocida como “Januscape”, es un ejemplo reciente que permite a un atacante dentro de una VM anidada ejecutar código que corrompe la tabla de páginas del host y lo reinicia. ...

Problema En muchos homelabs y entornos de pruebas se combina KVM con Proxmox y se habilita nested virtualization para ejecutar máquinas virtuales dentro de otras máquinas virtuales. Esta configuración abre la puerta a vulnerabilidades específicas del hipervisor. La reciente CVE‑2026‑53359, conocida como “Januscape”, afecta al código de shadow paging de KVM cuando la anidación está activada. Un exploit público puede forzar un panic del kernel y derribar el host sin necesidad de privilegios dentro de la VM invitada. El patrón que se repite en varios entornos es: kernel vulnerable + nested = posible caída del host. Cuando el parche aún no está disponible o la actualización es imposible por restricciones de versión, la única defensa práctica es desactivar la anidación para las VMs que no son de confianza. ...

Problema En entornos de virtualización basados en KVM es posible que un proceso dentro de la máquina virtual (guest) ejecute código que comprometa directamente el hipervisor (host). El patrón típico es un use‑after‑free en la gestión interna de la shadow MMU del kernel. Cuando el guest manipula estructuras de página que el hipervisor ya liberó, el hipervisor vuelve a utilizarlas sin validar, lo que permite ejecutar código arbitrario en modo kernel del host. ...

Problema En entornos Windows, la mayoría de las aplicaciones nativas confían en Credential Manager y en el API de Protección de Datos (DPAPI) para almacenar tokens, contraseñas y cookies de sesión. Cuando el sistema se apaga o reinicia, esos datos deberían permanecer en el almacén cifrado y volver a estar disponibles al iniciar sesión nuevamente. En varios equipos domésticos y de pequeñas oficinas se observa un patrón distinto: todos los ítems de Credential Manager desaparecen y las aplicaciones que usan DPAPI pierden sus sesiones cada vez que el equipo se reinicia. El síntoma se manifiesta como: ...

Problema En muchos entornos de Active Directory se utiliza un alias DNS (por ejemplo ad.contoso.com) para referenciar al controlador de dominio principal. Cuando se migra a LDAP sobre SSL (LDAPS, puerto 636) los clientes verifican que el nombre que aparecen en la conexión exista dentro del certificado del DC. Si el certificado solo contiene el FQDN real del servidor (dc01.contoso.com) la validación falla y aparece un aviso de “nombre no encontrado en el certificado”. ...

Problema En entornos de Azure AD (ahora Entra ID) es habitual que, con el tiempo, el número de App Registrations, Enterprise Applications y Managed Identities crezca sin control. Cada nueva aplicación lleva credenciales, permisos y, a menudo, un propietario que nunca se registra formalmente. Cuando el catálogo supera cientos de objetos, la consola nativa obliga a abrir múltiples blades para responder preguntas básicas: ¿Quién es el propietario? ¿Qué secretos expiran pronto? ¿Cuál es la última fecha de inicio de sesión? ¿Qué aplicaciones tienen permisos de alto riesgo sobre Microsoft Graph? La falta de una vista única dificulta la higiene periódica, genera licencias innecesarias de Entra ID Governance y aumenta el riesgo de que credenciales caducadas o permisos excesivos permanezcan sin supervisión. ...

Problema Los entornos de Active Directory (AD) son objetivo frecuente de ataques de movimiento lateral y recolección de credenciales. Los equipos de detección suelen depender de firmas estáticas (Event IDs) y, cuando el atacante usa técnicas conocidas, la señal llega tarde o se pierde entre ruido. La necesidad es disponer de “trampas” dentro del propio dominio que generen eventos claros y de alto valor sin requerir mantenimiento constante. En la práctica, muchos laboratorios de detección carecen de honeypots que cubran los vectores más explotados: Kerberoasting, AS‑REP Roasting, acceso a SYSVOL y extracción de LSASS. Sin esas trampas, los analistas pueden pasar horas revisando logs sin encontrar la pista que indique que un atacante está probando credenciales falsas. ...

Problema En entornos donde Azure actúa como hub de integración (por ejemplo, conectando Salesforce o ServiceNow), los equipos suelen mezclar dos patrones de OAuth 2.0 sin entender sus implicaciones. El resultado típico es: Un backend que usa Authorization Code para llamadas entre servicios, generando refresh tokens que expiran y no se actualizan correctamente. Un servicio que usa Client Credentials pero intenta reutilizar un token de usuario, provocando errores de autorización. La validación del JWT se hace sin revisar la firma ni los claims críticos, lo que abre la puerta a accesos no deseados. El síntoma más frecuente es que la integración funciona en pruebas, pero falla silenciosamente después de unos días o semanas, con errores como 401 Unauthorized o invalid_grant sin una pista clara del origen. ...

Problema Los entornos Microsoft 365 cambian con frecuencia: funcionalidades se retiran, parámetros de autenticación se modifican y los planes de precios se ajustan. Cuando una característica desaparece (por ejemplo, la creación de SharePoint Alerts en tenants nuevos) o una API pierde un parámetro (como -Credential en Connect-ExchangeOnline), los scripts y flujos de trabajo existentes dejan de funcionar. El síntoma típico es un error inesperado en la automatización o la imposibilidad de cumplir con una política de seguridad recién impuesta. El reto para el administrador es detectar el cambio, migrar la lógica a la alternativa recomendada y evitar interrupciones en la operación diaria. ...

Problema En oficinas pequeñas o sucursales, es frecuente separar dispositivos críticos (cámaras, impresoras, equipos médicos) en VLAN distintas y colocar un firewall de perímetro como puerta de enlace. Cuando una impresora multifunción debe escanear a una carpeta compartida en un PC ubicado en otra VLAN, el proceso se bloquea: el trabajo queda en “Resending…”, termina con “TX Incomplete” o simplemente no aparece la carpeta. El síntoma típico es que ICMP funciona entre subredes pero SMB (puertos 445/139) es rechazado. El cliente ve “Network path not found” al intentar acceder a \\IP\share. La causa suele estar en la configuración del firewall, reglas de zona o políticas de inspección que impiden el tráfico de capa 4/7 entre VLAN. ...