Es posible que una puntuación CVSS de gravedad media, de 4.3 , no sea motivo de alarma por sí sola. No obstante, la explotación activa modifica la forma en que las organizaciones deben evaluar el riesgo y responder ante él.
En este artículo se explica en qué consiste la vulnerabilidad, qué versiones se ven afectadas, cómo la aprovechan los atacantes y los pasos que debe seguir para detectarla y subsanarla en todo su entorno.
¿Qué es el CVE-2025-47813?
La vulnerabilidad CVE-2025-47813 consiste en una fuga de información en Wing FTP Server, una aplicación de transferencia de archivos que cuenta con más de 10,000 clientes en todo el mundo. La vulnerabilidad se encuentra en la página loginok.html , que no gestiona correctamente los valores excesivamente grandes en la cookie UID.
Cuando un usuario autenticado envía una solicitud con un valor de cookie UID excesivamente largo, el servidor genera un error que revela la ruta completa de instalación local de la aplicación. Este tipo de fallo se enmarca dentro de la divulgación de rutas.
Por sí sola, no otorga a los atacantes el control directo de un sistema. Sin embargo, la información que filtra se convierte en un valioso material de reconocimiento para planificar ataques posteriores.
- Tipo de vulnerabilidad: Divulgación de información de tipo « » (divulgación de ruta)
- Componentes afectados:
loginok.html - Causa principal: Validación inadecuada de los datos introducidos en la cookie UID
- Información expuesta: Ruta completa en el sistema de archivos de la instalación de Wing FTP Server
Puntuación CVSS y nivel de gravedad
El Sistema Común de Puntuación de Vulnerabilidades (CVSS) ofrece un marco estandarizado para evaluar la gravedad de las vulnerabilidades. La vulnerabilidad CVE-2025-47813 tiene una puntuación base CVSS de 4.3, lo que la sitúa en el rango de gravedad media.
| Sistema métrico | Valor |
|---|---|
| Puntuación base CVSS | 4.3 (Medio) |
| Vector de ataque | Red |
| Complejidad del ataque | Bajo |
| Privilegios necesarios | Bajo |
| Interacción con el usuario | Ninguno |
Una puntuación media podría parecer menos urgente que las vulnerabilidades críticas. Pero aquí está el problema: la CISA no incluye vulnerabilidades en el catálogo KEV basándose únicamente en las puntuaciones CVSS.
Una gestión eficaz de las amenazas y vulnerabilidades de tiene en cuenta las señales de explotación activa, y la inclusión en la lista KEV confirma que los atacantes están aprovechando esta vulnerabilidad, lo que cambia por completo el cálculo del riesgo.
Versiones afectadas de Wing FTP Server
Todas las versiones de Wing FTP Server lanzadas antes de la 7.4.4 son vulnerables a la CVE-2025-47813. El proveedor ha solucionado el problema en la versión 7.4.4, que corrige el tratamiento incorrecto de los valores de cookies de tamaño excesivo.
- Vulnerable: Todas las versiones anteriores a la 7.4.4
- Corrigido: Versión 7.4.4 y posteriores
- Plataformas: . Las implementaciones en Windows, Linux y macOS se ven afectadas
Si tiene Wing FTP Server en funcionamiento en su entorno, el primer paso es comprobar qué versión tiene instalada. Las organizaciones cuyos inventarios de software están incompletos suelen descubrir instancias vulnerables cuya existencia desconocían.
¿Por qué la CISA ha incluido esta vulnerabilidad en el catálogo KEV?
El catálogo de vulnerabilidades explotadas conocidas de la CISA no es una lista de riesgos teóricos. La CISA añade vulnerabilidades al catálogo KEV basándose en tres criterios de , entre los que se incluye la existencia de pruebas fiables de que la vulnerabilidad ha sido objeto de explotación activa. Cuando aparece un CVE en KEV, ello indica que se ha verificado la existencia de actividades de explotación y que es urgente aplicar medidas correctivas.
Indicios de explotación activa
La entrada del KEV correspondiente al CVE-2025-47813 confirma que los atacantes están aprovechando activamente esta vulnerabilidad. Aunque no siempre se publican los detalles concretos de los ataques, la entrada del catálogo indica que la explotación ha pasado de la fase de prueba de concepto al uso operativo.
Plazo de subsanación de la agencia federal
En virtud de la Directiva Operativa Vinculante (BOD) n.º 22-01 de la Oficina de Seguridad de la Información de la Administración de Seguridad de la Información ( ), los organismos del Poder Ejecutivo Civil Federal de EE. UU. están obligados a subsanar las vulnerabilidades incluidas en la lista KEV en un plazo determinado. En el caso del curso CVE-2025-47813, el plazo vence el March 30, 2026.
Repercusiones para las organizaciones del sector privado
La norma BOD 22-01 se aplica únicamente a las agencias federales que figuran en . Sin embargo, el catálogo KEV de se ha convertido, de hecho, en una lista de prioridades para organizaciones de todos los sectores. Si la CISA confirma que se está produciendo una explotación activa, considerar el plazo federal como su propia fecha límite constituye un enfoque razonable para la gestión de riesgos y de vulnerabilidades de tipo « ».
Cómo aprovechan los atacantes esta vulnerabilidad
El proceso de explotación de la vulnerabilidad CVE-2025-47813 resulta sencillo para cualquier persona que disponga de acceso autenticado al servidor.
El vector de ataque mediante cookies UID
Un atacante elabora una solicitud HTTP dirigida al servidor Wing FTP y manipula la cookie UID, estableciendo su valor en una cadena excesivamente larga. Cuando el servidor intenta procesar esta entrada con formato incorrecto, se produce un error y devuelve un mensaje de error. Ese error incluye la ruta completa del sistema de archivos en la que está instalado Wing FTP Server.
Cómo la revelación de rutas permite el movimiento lateral
Conocer la ruta de instalación exacta proporciona a los atacantes un mapa del sistema objetivo, lo que permite ese tipo de movimiento lateral en los ciberataques que convierte un incidente de gravedad media en una brecha de seguridad grave. Con esta información, los atacantes pueden comprender mejor el entorno objetivo y facilitar la explotación posterior, incluida la combinación con otras vulnerabilidades de Wing FTP Server.
Las vulnerabilidades relacionadas con la revelación de rutas suelen servir de trampolín. Proporcionan la información de reconocimiento que necesitan los atacantes para escalar privilegios o desplazarse lateralmente dentro de una red.
Patrones de ataque observados
Las vulnerabilidades relacionadas con la divulgación de información como esta suelen aparecer en las primeras fases de una cadena de ataque. Los atacantes utilizan la información filtrada sobre las rutas para perfeccionar su estrategia, combinándola con otras vulnerabilidades, incluida una falla relacionada de tipo «ejecución de código remoto» (RCE) de con puntuación CVSS 10.0, con el fin de provocar consecuencias más graves.
Cómo detectar el CVE-2025-47813 en su entorno
Para detectar instancias vulnerables es necesario realizar una evaluación de vulnerabilidades de tipo « » ( ), basada en una visión precisa y actualizada del software que se ejecuta en sus terminales.
Cómo detectar instalaciones de Wing FTP Server
Muchas organizaciones se enfrentan a problemas derivados de inventarios de software incompletos. La «TI en la sombra», los servidores de pruebas olvidados y las implementaciones descentralizadas pueden ocultar instalaciones vulnerables. La visibilidad en tiempo real de los terminales permite detectar todas las instancias de Wing FTP Server, independientemente del lugar en el que se estén ejecutando.
Identificación de versiones vulnerables
Una vez que haya localizado todas las instalaciones, compruebe los números de versión. Cualquier instancia que ejecute una versión anterior a la 7.4.4 es vulnerable. Los análisis puntuales pueden pasar por alto dispositivos que están desconectados o que tienen una conexión intermitente, por lo que la supervisión continua ofrece una visión más precisa.
Búsqueda de amenazas para detectar indicadores de compromiso
Para determinar si ya se ha producido un acto de explotación, busque en los registros del servidor valores de cookies UID inusualmente largos o con formato incorrecto, picos en los mensajes de error relacionados con el procesamiento de cookies y actividades de reconocimiento posteriores procedentes de las direcciones IP que provocaron dichos errores.
Dado que se trata de una vulnerabilidad relacionada con la divulgación de información, los indicios pueden ser sutiles. La correlación de los datos de registro con otras actividades sospechosas mediante la búsqueda proactiva de amenazas puede ayudar a identificar posibles vulnerabilidades.
Medidas correctoras
Siga esta secuencia de cuatro pasos para resolver el problema CVE‑2025‑47813 en su entorno:
1. Realice un inventario de todos los sistemas afectados: Comience por realizar un inventario completo y en tiempo real de todos los terminales en los que se ejecute Wing FTP Server. Incluya los sistemas locales, los dispositivos remotos y cualquier instancia en entornos en la nube.
2. Actualícese a la versión corregida: Actualice Wing FTP Server a la versión 7.4.4 o posterior, tal y como se indica en el registro oficial de CVE de y en los avisos de terceros.
3. Verifique que la corrección se ha aplicado correctamente: Tras la implementación, vuelva a analizar todos los sistemas para confirmar que ejecutan la versión corregida. La corrección no se considerará completada hasta que la verificación confirme que no quedan instancias vulnerables.
4. Implemente un seguimiento continuo: Una solución puntual no es suficiente. Las nuevas instalaciones, las reversiones del sistema o las copias de seguridad restauradas pueden volver a provocar la vulnerabilidad. La supervisión continua detecta las desviaciones en las versiones antes de que vuelvan a generar una brecha de seguridad.
Medidas compensatorias cuando no es posible aplicar medidas correctoras de forma inmediata
En ocasiones, las limitaciones operativas retrasan la corrección de los problemas. En esos casos, las medidas correctoras pueden reducir el riesgo mientras se trabaja para lograr una solución definitiva.
Segmentación de la red y restricciones de acceso
Limite el acceso a la red al servidor Wing FTP. Limite las conexiones a direcciones IP de confianza o exija el uso de una VPN. La reducción de la superficie de ataque impide, desde el principio, que los usuarios no autorizados accedan al servidor.
Registro y alertas mejorados
Aumente el nivel de detalle de los registros en Wing FTP Server y configure su SIEM para que emita alertas ante patrones sospechosos. Cree reglas que marquen las solicitudes con valores de cookies inusualmente elevados.
Políticas de control de aplicaciones
Las reglas del cortafuegos de aplicaciones web (WAF) pueden inspeccionar las solicitudes entrantes y bloquear aquellas que contengan cookies UID de tamaño excesivo. Esto proporciona una capa de protección mientras se llevan a cabo las medidas correctivas.
Cómo comprobar que la corrección se ha llevado a cabo correctamente
La verificación es el paso que a menudo se omite. Una vez completada la corrección, realice análisis de detección para confirmar que todas las instancias que antes eran vulnerables ahora indican que tienen la versión 7.4.4 o posterior. Documente esta validación a efectos de cumplimiento normativo y auditoría.
No espere a su próximo análisis de vulnerabilidades programado. Realice la validación inmediatamente después del ciclo de actualización para confirmar que se ha llevado a cabo con éxito y cerrar el ciclo.
Preguntas frecuentes sobre el CVE-2025-47813
¿Cuál es la clasificación CWE de esta vulnerabilidad?
El CVE-2025-47813 está clasificado en la categoría CWE-209: Generación de mensajes de error que contienen información sensible. La «Common Weakness Enumeration» (CWE) es un catálogo elaborado por la comunidad en el que se recogen los distintos tipos de vulnerabilidades de software y hardware.
¿Es posible aprovechar esta vulnerabilidad sin necesidad de autenticación?
No. Para aprovechar la vulnerabilidad CVE-2025-47813 se requiere un acceso autenticado de bajo nivel al servidor. Un atacante que no disponga de credenciales no puede provocar la revelación de la ruta.
¿Afecta esto a Wing FTP Server en todos los sistemas operativos?
Sí. La vulnerabilidad se encuentra en el código de la aplicación, no en la plataforma subyacente. Las implementaciones en Windows, Linux y macOS se ven afectadas.
¿Qué ocurriría si encontráramos indicios de explotación?
Ponga en marcha su plan de respuesta ante incidentes de inmediato. Aísle los sistemas afectados, conserve los registros y las imágenes del sistema para su análisis forense, y notifique el incidente si así lo exigen las políticas o la normativa.
¿En qué se diferencia esta vulnerabilidad de otras vulnerabilidades de Wing FTP Server?
La vulnerabilidad CVE-2025-47813 es, concretamente, una falla de divulgación de información. Su impacto directo consiste en la filtración de información del sistema, más que en permitir la ejecución remota de código o la escalada de privilegios. Sin embargo, la información filtrada suele facilitar la realización de esos ataques más graves como parte de una cadena de ataques más amplia.
Una respuesta eficaz ante amenazas como la CVE-2025-47813 depende de la rapidez y la precisión. Las organizaciones que cuentan con visibilidad en tiempo real de los terminales pueden identificar cada instalación vulnerable en cuestión de segundos, implementar correcciones a gran escala y validar la corrección de forma inmediata.
Tanium se ha diseñado para ayudar a las organizaciones a evolucionar su enfoque « » hacia una gestión moderna de la exposición , combinando la inteligencia en tiempo real de los terminales con flujos de trabajo integrados de gestión de vulnerabilidades y correcciones en una única plataforma. Esto contribuye a reducir los periodos de exposición y permite a los equipos actuar con seguridad. En lugar de esperar días o semanas a recibir los resultados de los análisis, los equipos pueden actuar con rapidez y verificar los resultados en tiempo real.
Concierte una demostración gratuita y personalizada en para descubrir cómo Tanium facilita una respuesta más rápida ante las vulnerabilidades CVE.
