Security

Problema En entornos de producción, una aplicación que depende de S3 puede dejar de leer o escribir objetos de forma inesperada. El síntoma típico es un error 403/AccessDenied, 404/NoSuchKey o timeout al intentar acceder a un bucket que funcionaba minutos o horas antes. El problema no está limitado a una cuenta o región; cualquier arquitectura que combine IAM, bucket policies, KMS, VPC endpoints y automatizaciones puede verse afectada. El objetivo es disponer de un proceso de diagnóstico que funcione sin importar cuál sea la causa raíz. ...

Problema Al actualizar a una versión reciente de pfSense Plus, muchos administradores descubren que el nuevo Netgate Nexus controller no está disponible o que, una vez habilitado, el firewall muestra comportamientos extraños: caída del DNS, reglas de firewall que no se aplican o incluso bloqueos de tráfico. El patrón típico es: después de la actualización, el GUI tradicional sigue activo, pero la opción “Enable Nexus” está gris o, al activarla, el puerto 8443 no responde. En entornos de producción, donde la disponibilidad del DNS interno y la consistencia de las listas de bloqueo (Threatgate) son críticas, este tipo de interrupción puede generar alertas de monitoreo y tickets de soporte. ...

Problema En entornos productivos basados en AWS es frecuente que una cuenta sea marcada como “suspended” bajo la razón non‑payment aunque el balance aparezca en cero. La suspensión bloquea el acceso a todos los recursos: clústers de EKS, bases de datos RDS, volúmenes EBS, colas de SQS, etc. El resultado inmediato es la caída total del servicio y la imposibilidad de usar credenciales IAM para exportar datos o ejecutar comandos. El problema se vuelve crítico cuando la suspensión ocurre justo antes de un lanzamiento o durante la facturación mensual, generando presión sobre equipos de negocio y clientes. ...

Problema Una vulnerabilidad crítica en el componente de gestión de VMware vCenter permite ejecución remota de código (RCE) sin autenticación. Los atacantes confirman que ya están explotando CVE-2026-59310 para abrir túneles SSH reversos y moverse lateralmente dentro de la red. En entornos de producción, la exposición de vCenter a redes no confiables o la falta de un parche inmediato convierte a esta falla en un punto de entrada prioritario. El patrón que se repite es: una plataforma de virtualización ampliamente desplegada, gestión centralizada accesible y una actualización de seguridad que aún no está disponible para todos los clientes. ...

Problema En entornos donde aplicaciones de terceros usan autenticación basada en Azure AD, es frecuente excluir esas apps de políticas de Conditional Access que obligan a MFA. Cuando Microsoft introduce el Baseline Scopes enforcement (una característica de preview), la exclusión tradicional puede dejar de ser suficiente. El síntoma típico es que usuarios que deberían autenticarse sin MFA reciben errores como AADSTS50076 o AADSTS50079, indicando que se requiere MFA aunque la aplicación esté excluida. ...

Problema Los entornos de Active Directory (AD) a menudo presentan varios puntos débiles que, cuando se combinan, permiten a un atacante pasar de una conexión VPN sin credenciales a control total del dominio. La cadena típica incluye enumeración anónima, extracción de hashes, abuso de permisos delegados y escalada mediante certificados. Cuando cualquiera de esos es explotable, la defensa completa se vuelve imposible; la verdadera dificultad está en detectar y bloquear la secuencia de técnicas, no cada una de forma aislada. ...

Problema Muchas pymes y oficinas remotas utilizan los dispositivos Meraki MX como puerta de enlace VPN. Desde hace poco, Meraki permite túneles IKEv2/IPsec, que son mucho más rápidos que los basados en TLS/DTLS. El inconveniente habitual es que la autenticación se limita a usuario y contraseña contra un servidor RADIUS, sin soporte nativo para MFA ni para certificados de cliente. En entornos donde la identidad está gestionada por Azure AD/Entra ID, los administradores buscan una forma de exigir MFA antes de que el RADIUS acepte la conexión, pero sin adquirir licencias de AnyConnect Premium o desplegar una infraestructura AD completa. ...

Problema En entornos con múltiples servidores y subredes, es frecuente que el cliente SSH logre establecer la conexión TCP (el banner “Connection established” aparece) y luego se quede esperando sin mostrar la solicitud de contraseña ni ningún mensaje de error. El proceso parece colgar en el primer intercambio de datos después del handshake. El síntoma típico es: debug1: Connecting to 10.x.x.x [10.x.x.x] port 22. debug1: Connection established. debug1: Enabling compatibility mode for protocol 2.0 debug1: Local version string SSH-2.0-OpenSSH_7.4 y nada más. La sesión funciona desde otras máquinas, pero falla de forma consistente desde un host específico (por ejemplo, un jump server). La causa rara vez está en el daemon SSH; suele estar en la capa de red que impide que el paquete de banner del cliente llegue al servidor o que la respuesta del servidor regrese al cliente. ...

Problema En entornos donde los contenedores se usan para tareas de CI/CD, depuración o transferencia de datos, es frecuente emplear docker cp para mover archivos entre el host y el contenedor. Un patrón de falla aparece cuando el proceso que ejecuta docker cp tiene permisos suficientes en el host (por ejemplo, usuario root o miembro del grupo docker). Si el contenedor controla el contenido del archivo que se está copiando, puede aprovechar una condición de carrera entre la creación del archivo temporal y la extracción del archivo tar, combinada con enlaces simbólicos maliciosos, para escribir o sobrescribir cualquier ruta del host. El resultado es una escritura arbitraria que, dependiendo del contexto, puede escalar a ejecución de código. ...

Problema En entornos con Active Directory Certificate Services (AD CS) es frecuente encontrar configuraciones que permiten a cualquier usuario del dominio solicitar certificados con atributos que pueden usarse para obtener tickets Kerberos falsificados. Las opciones ESC9, ESC10, ESC15 y ESC16 son variantes de este comportamiento: habilitan la inserción de Subject Alternative Name (SAN) controlado por el solicitante y desactivan controles de mapeo de claves. Cuando están activas, un atacante sin credenciales puede generar un certificado que le otorga privilegios de Domain Admin mediante técnicas de certifried o Kerberoasting. ...