El proveedor de software empresarial Zoho advirtió el viernes que un error crítico recientemente corregido en su Desktop Central y Desktop Central MSP está siendo explotado activamente por actores malintencionados, lo que implica una tercera vulnerabilidad de seguridad en sus productos que puede explotarse en estado salvaje dentro de cuatro meses.

Un problema al que se le asigna el identificador CVE-2021-44515 es una vulnerabilidad de omisión de autenticación que podría permitir que un oponente omita la protección de autenticación y ejecute código arbitrario en el servidor de Desktop Central MSP.

«En el caso de un abuso, los atacantes podrían obtener acceso no autorizado al producto mediante el envío de una solicitud de ejecución remota de código especialmente diseñada», advirtió Zoho. «Como vemos signos de explotación de esta vulnerabilidad, recomendamos encarecidamente a los clientes que actualicen sus instalaciones a la última versión lo antes posible».

La compañía también ha puesto a disposición la herramienta de detección de exploits para ayudar a los clientes a identificar signos de compromiso en sus instalaciones.

Como resultado de este desarrollo, CVE-2021-44515 se une a otras dos vulnerabilidades, CVE-2021-44077 y CVE-2021-40539, que se han utilizado como arma para amenazar redes de organizaciones de infraestructura crítica en todo el mundo.

El lanzamiento también se produce un día después de que la Agencia de Seguridad Cibernética de EE. UU. (CISA) advirtiera que CVE-2021-44077, una vulnerabilidad de ejecución remota de código no verificada que afecta a ServiceDesk Plus, estaba siendo explotada para lanzar shells web y ejecutar una serie de mensajes. . -Actividades de explotación dentro de la campaña denominada «TiltedTemple».