Exposición de KBs de ServiceNow de Enterprise revela datos corporativos filtrados.
Investigadores descubrieron más de mil instancias de ServiceNow que revelan información de empresas.
Un estudio realizado por AppOmni ha revelado más de 1,000 casos en ServiceNow que han expuesto de manera involuntaria datos de las Bases de Conocimiento (KBs), representando el 45% de las empresas evaluadas. ServiceNow proporciona estas KBs, plataformas autoservicio que permiten a los usuarios almacenar, compartir y gestionar contenido.
Aaron Costello, líder de investigación en seguridad SaaS en AppOmni, destacó que el riesgo proviene de la incorrecta configuración de las KBs por parte de las empresas, lo que resulta en la exposición de datos. Las aplicaciones afectadas fueron configuradas como públicas, lo que permite a potenciales atacantes acceder a la información contenida en ellas.
ServiceNow es utilizado por el 85% de las empresas Fortune 500 para la gestión de servicios y procesos de TI. Las organizaciones emplean este servicio para establecer sistemas que permiten definir, automatizar, gestionar y estructurar sus servicios de TI. Entre los datos descubiertos por los investigadores se encontraron información sensible, como nombres, credenciales, números de teléfono y detalles de sistemas internos. La compromise de información interna, como procesos de recursos humanos o protocolos de respuesta ante ciberataques, podría generar problemas graves para la ciberseguridad de las organizaciones.
Costello advirtió que es fundamental que las organizaciones que utilizan ServiceNow estén al tanto de esta situación, ya que puede conllevar a la exposición de información sensible como datos personales identificables (PII), información de sistemas internos y credenciales activas. Esto resalta la necesidad urgente de que las empresas realicen revisiones rutinarias y actualicen sus configuraciones de seguridad para evitar accesos no autorizados y proteger sus activos de datos.
No es la primera ocasión que se encuentran vulnerabilidades en ServiceNow; investigadores habían señalado fallos de seguridad anteriormente este año. Aunque en 2023 la empresa lanzó una serie de actualizaciones en sus Listas de Control de Acceso (ACLs) para mejorar la protección de datos, estas actualizaciones no incluyeron las KBs. Aunque la información expuesta puede tener usos legítimos, las KBs ponen en riesgo la información del cliente que podría ser explotada por actores maliciosos.
Para reducir los riesgos asociados a la exposición de información, los investigadores de seguridad recomiendan realizar diagnósticos de forma regular y estar en contacto con los proveedores de plataformas de software para obtener las últimas actualizaciones de seguridad.
- ciberseguridad
- ServiceNow
- exposición de datos
