Estas son las novedades técnicas y su impacto práctico para administradores de servidores, responsables de TI y propietarios de sitios web que gestionan infraestructuras o servicios que dependen de firmware, arranque por red (PXE), plataformas de inferencia de IA o entornos académicos y corporativos.
Fallo UEFI en TianoCore EDK II que afecta a servidores con PXE
Investigadores de dos empresas públicas detectaron una vulnerabilidad en TianoCore EDK II —el código abierto que usan muchos proveedores de firmware— que permite desbordamiento de búfer durante el arranque por red (PXE). El problema está presente en implementaciones empleadas por numerosos fabricantes y data centers que derivan su firmware de proyectos como AMI, Insyde o Phoenix.
Qué cambia y a quién afecta: sólo los equipos que realizan arranque por red (PXE) están expuestos. Un atacante con acceso a la red local puede enviar un mensaje ICMP sobredimensionado mientras la máquina arranca por la red para colgar el proceso de arranque o, si conoce la compilación de firmware objetivo, ejecutar código con privilegios elevados antes de que entren en vigor protecciones como Secure Boot.
Qué deben hacer los administradores: identificar sistemas que usan PXE en su inventario de arranque (incluyendo servidores en racks y nodos de despliegue automatizado), contactar con los proveedores de firmware y aplicar las actualizaciones publicadas o mitigaciones temporales. Si no se puede parchear de inmediato, restringir el acceso de red al servidor TFTP/servicio PXE y a ICMP desde redes no confiables, y monitorizar los eventos de arranque en busca de anomalías.
Filtración cruzada de datos en inferencia de IA en la nube
Un proveedor de servicios de inferencia informó que, durante un periodo acotado, respuestas del modelo GLM 5.3 en su plataforma Workers AI devolvieron fragmentos de datos pertenecientes a peticiones previas de otros clientes cuando las solicitudes superaban un gran tamaño de tokens. La causa combinó una configuración de caché KV menor que la ventana de contexto anunciada y un fallo en el motor de inferencia que permitió a peticiones excesivamente largas leer datos residuales en caché.
Qué cambia y a quién afecta: clientes que ejecutan inferencia con prompts extremadamente largos pudieron ver datos de otras sesiones en respuestas del modelo. El proveedor arregló la configuración y el bug tras una notificación de seguridad y recomienda actualizar el motor de inferencia a la versión disponible que corrige el problema.
Qué deben hacer los administradores y operadores de modelos: revisar la política de envío de prompts (limitar longitud), auditar almacenamiento en caché y configuración de contexto en entornos de inferencia, y aplicar las versiones del motor de inferencia indicadas por el proveedor. Considerar cifrar o evitar incluir secretos en prompts y usar separación estricta por inquilino (tenant isolation) en despliegues multiusuario.
Brecha en la Universidad de Copenhague y robo de datos de identidad
La Universidad de Copenhague detectó un acceso no autorizado en uno de sus entornos de pruebas. Los atacantes exfiltraron datos personales de cerca de medio millón de miembros actuales y antiguos de la comunidad universitaria, incluyendo números de identificación nacional (CPR) y, en algunos casos, los PIN de tarjetas de identidad para unas decenas de miles de personas.
Qué cambia y a quién afecta: el alcance cubre datos personales sensibles que pueden facilitar fraude de identidad. La universidad reemitió PIN de tarjetas afectadas y sigue investigando la intrusión.
Qué deben hacer los administradores de instituciones y entornos de pruebas: segmentar y endurecer entornos de pruebas frente a datos reales, aplicar principios de mínimo privilegio, cifrar datos sensibles en reposo y en tránsito, y rotar credenciales y tarjetas cuando haya indicios de compromiso. Realizar análisis forense y notificar a los afectados cuando proceda según la normativa aplicable.
Implicaciones generales y recomendaciones
- Inventario y segmentación: identificar rápidamente servicios que usan PXE, entornos de prueba con datos reales y puntos de inferencia IA compartidos.
- Actualizaciones y parches: priorizar firmware de arranque y motores de inferencia, y aplicar mitigaciones de red si no es posible parchear de inmediato.
- Secretos y prompts: evitar incluir secretos en prompts de IA y aplicar políticas de gestión de secretos.
- Monitorización y respuesta: revisar logs de arranque, accesos a servicios de inferencia y transferencias de datos en entornos de pruebas; preparar respuesta y comunicaciones a usuarios en caso de filtraciones.
Lee también:
- ICANN celebra el Día Internacional de Internet y 57 años de conexión global
- Amenazas iraníes ponen en riesgo cables submarinos en el estrecho de Hormuz y la conectividad regional
Fuente: SecurityWeek
