La Agencia de Ciberseguridad y Seguridad de las Infraestructuras (CISA) de EE.UU. añadió el jueves un fallo de seguridad que afecta al servidor WebLogic de Oracle al catálogo de Vulnerabilidades Explotadas Conocidas (KEV), citando pruebas de explotación activa.

Registrado como CVE-2017-3506 (puntuación CVSS: 7,4), el problema se refiere a una vulnerabilidad de inyección de comandos del sistema operativo (SO) que podría aprovecharse para obtener acceso no autorizado a servidores susceptibles y tomar el control completo.

«Oracle WebLogic Server, un producto dentro de la suite Fusion Middleware, contiene una vulnerabilidad de inyección de comandos OS que permite a un atacante ejecutar código arbitrario a través de una solicitud HTTP especialmente diseñada que incluye un documento XML malicioso», dijo CISA.

Aunque la agencia no reveló la naturaleza de los ataques que explotan la vulnerabilidad, el grupo de criptojacking con sede en China conocido como 8220 Gang (alias Water Sigbin) tiene antecedentes de aprovecharla desde principios del año pasado para cooptar dispositivos sin parches en una botnet de minería de criptomonedas.

Según un informe reciente publicado por Trend Micro, se ha observado a la 8220 Gang aprovechando fallos en el servidor Oracle WebLogic (CVE-2017-3506 y CVE-2023-21839) para lanzar un minero de criptomonedas sin archivos en la memoria por medio de un script shell o PowerShell dependiendo del sistema operativo objetivo.

«La banda empleaba técnicas de ofuscación, como la codificación hexadecimal de las URL y el uso de HTTP a través del puerto 443, lo que permitía la entrega sigilosa de la carga útil», explicó el investigador de seguridad Sunil Bharti. «El script PowerShell y el archivo por lotes resultante implicaban una codificación compleja, utilizando variables de entorno para ocultar código malicioso dentro de componentes de script aparentemente benignos».

A la luz de la explotación activa de CVE-2017-3506, se recomienda a las agencias federales que apliquen las últimas correcciones antes del 24 de junio de 2024 para proteger sus redes contra posibles amenazas.

Fuente: thehackernews