Investigadores de ciberseguridad han desarrollado un código de prueba de concepto (PoC) que explota un fallo crítico recientemente revelado en el sistema de planificación de recursos empresariales (ERP) de código abierto Apache OfBiz para ejecutar una carga útil residente en memoria.
La vulnerabilidad en cuestión es CVE-2023-51467 (puntuación CVSS: 9,8), un bypass para otra grave deficiencia en el mismo software (CVE-2023-49070, puntuación CVSS: 9,8) que podría utilizarse como arma para eludir la autenticación y ejecutar remotamente código arbitrario.
Aunque se solucionó en la versión 18.12.11 de Apache OFbiz publicada el mes pasado, se han observado amenazas que intentan explotar el fallo, dirigiéndose a instancias vulnerables.
Los últimos hallazgos de VulnCheck muestran que CVE-2023-51467 puede ser explotado para ejecutar una carga útil directamente desde la memoria, dejando poco o ningún rastro de actividad maliciosa.
Los fallos de seguridad revelados en Apache OFBiz (por ejemplo, CVE-2020-9496) han sido explotados por agentes de amenazas en el pasado, incluidos los asociados a la red de bots Sysrv. Otro fallo de tres años de antigüedad (CVE-2021-29200) ha sido objeto de intentos de explotación desde 29 direcciones IP únicas en los últimos 30 días, según datos de GreyNoise.
Además, Apache OFBiz fue también uno de los primeros productos en tener un exploit público para Log4Shell (CVE-2021-44228), lo que demuestra que sigue siendo de interés tanto para los defensores como para los atacantes.
CVE-2023-51467 no es una excepción, con detalles sobre un endpoint de ejecución remota de código ("/webtools/control/ProgramExport") así como PoC para la ejecución de comandos emergiendo apenas unos días después de su revelación pública.
Aunque se han erigido barreras de seguridad (es decir, Groovy sandbox) que bloquean cualquier intento de cargar web shells arbitrarias o ejecutar código Java a través del endpoint, la naturaleza incompleta del sandbox significa que un atacante podría ejecutar comandos curl y obtener un shell inverso bash en sistemas Linux.
"Para un atacante avanzado, sin embargo, estas cargas útiles no son ideales", dijo el Director de Tecnología de VulnCheck, Jacob Baines. "Tocan el disco y dependen de un comportamiento específico de Linux".
El exploit basado en Go ideado por VulnCheck es una solución multiplataforma que funciona tanto en Windows como en Linux y sortea la denylist aprovechando las funciones groovy.util.Eval para lanzar un shell inverso Nashorn en memoria como carga útil.
"OFBiz no es muy popular, pero ha sido explotado en el pasado. Se ha dado mucho bombo a la CVE-2023-51467, pero no se ha hecho pública ninguna carga útil, lo que ponía en duda que fuera posible", explica Baines. "Hemos llegado a la conclusión de que no sólo es posible, sino que podemos lograr la ejecución arbitraria de código en memoria".
Fuente: thehackernews