Se ha descubierto que más del 50% de los 90.310 hosts exponen un servicio Tinyproxy en Internet que es vulnerable a un fallo de seguridad crítico no parcheado en la herramienta proxy HTTP/HTTPS.
El problema, identificado como CVE-2023-49606, tiene una puntuación CVSS de 9,8 sobre un máximo de 10, según Cisco Talos, que lo describe como un fallo de uso después de la liberación que afecta a las versiones 1.10.0 y 1.11.1, la última de las cuales es la más reciente.
«Un encabezado HTTP especialmente diseñado puede provocar la reutilización de la memoria liberada previamente, lo que lleva a la corrupción de memoria y podría conducir a la ejecución remota de código», dijo Talos en un aviso la semana pasada. «Un atacante necesita hacer una petición HTTP no autenticada para desencadenar esta vulnerabilidad».
En otras palabras, una amenaza no autenticada podría enviar un encabezado de conexión HTTP especialmente diseñado para provocar la corrupción de memoria que puede resultar en la ejecución remota de código.
Según los datos compartidos por la empresa de gestión de superficies de ataque Censys, de los 90.310 hosts que exponen un servicio Tinyproxy a la Internet pública a fecha de 3 de mayo de 2024, 52.000 (~57%) de ellos ejecutan una versión vulnerable de Tinyproxy.
La mayoría de los hosts de acceso público se encuentran en Estados Unidos (32.846), Corea del Sur (18.358), China (7.808), Francia (5.208) y Alemania (3.680).
Talos, que informó del problema el 22 de diciembre de 2023, también ha publicado una prueba de concepto (PoC) del fallo, en la que se describe cómo el problema con el análisis sintáctico de las conexiones de conexión HTTP podría utilizarse como arma para provocar un bloqueo y, en algunos casos, la ejecución de código.
Los mantenedores de Tinyproxy, en un conjunto de commits realizados durante el fin de semana, llamaron a Talos por enviar el informe a una probable «dirección de correo electrónico obsoleta», añadiendo que fueron informados por un mantenedor del paquete Debian Tinyproxy el 5 de mayo de 2024.
«No se presentó ninguna incidencia en GitHub, y nadie mencionó una vulnerabilidad en el mencionado chat de IRC», dijo rofl0r en un commit. «Si se hubiera informado del problema en Github o IRC, el fallo se habría solucionado en un día».
Se recomienda a los usuarios que actualicen a la última versión cuando esté disponible. También se recomienda que el servicio Tinyproxy no esté expuesto a la Internet pública.
Fuente: thehackernews