Un fallo de alta gravedad recientemente parcheado que afecta al software de transferencia de archivos SolarWinds Serv-U está siendo explotado activamente por actores maliciosos en la naturaleza.
La vulnerabilidad, rastreada como CVE-2024-28995 (puntuación CVSS: 8,6), se refiere a un error transversal de directorio que podría permitir a los atacantes leer archivos confidenciales en la máquina anfitriona.
Esta vulnerabilidad, que afectaba a todas las versiones del software anteriores a Serv-U 15.4.2 HF 1 inclusive, fue corregida por la empresa en la versión Serv-U 15.4.2 HF 2 (15.4.2.157) publicada a principios de este mes.
La lista de productos susceptibles a CVE-2024-28995 es la siguiente:
- Servidor FTP Serv-U 15.4
- Serv-U Gateway 15.4
- Servidor Serv-U MFT 15.4,
- Servidor de archivos Serv-U 15.4
Se atribuye al investigador de seguridad Hussein Daher, de Web Immunify, el descubrimiento y la notificación del fallo. Tras la divulgación pública, se han puesto a disposición detalles técnicos adicionales y una prueba de concepto (PoC) del exploit.
La empresa de ciberseguridad Rapid7 describió la vulnerabilidad como trivial de explotar y que permite a atacantes externos no autentificados leer cualquier archivo arbitrario en disco, incluidos archivos binarios, suponiendo que conozcan la ruta a ese archivo y no esté bloqueado.
"Los problemas de divulgación de información de alta gravedad, como el CVE-2024-28995, pueden utilizarse en ataques de tipo smash-and-grab, en los que los adversarios acceden a los datos de las soluciones de transferencia de archivos e intentan filtrarlos rápidamente con el objetivo de extorsionar a las víctimas".
"Los productos de transferencia de archivos han sido blanco de una amplia gama de adversarios en los últimos años, incluidos los grupos de ransomware."
De hecho, según la firma de inteligencia de amenazas GreyNoise, los actores de amenazas ya han comenzado a realizar ataques oportunistas utilizando el fallo contra sus servidores honeypot para acceder a archivos sensibles como /etc/passwd, con intentos también registrados desde China.
Teniendo en cuenta los fallos anteriores del software Serv-U explotados por los actores de amenazas, es imperativo que los usuarios apliquen las actualizaciones lo antes posible para mitigar las amenazas potenciales.
"El hecho de que los atacantes estén utilizando PoCs disponibles públicamente significa que la barrera de entrada para los actores maliciosos es increíblemente baja", dijo Naomi Buckwalter, directora de seguridad de productos en Contrast Security, en una declaración compartida con The Hacker News.
"La explotación exitosa de esta vulnerabilidad podría ser un trampolín para los atacantes. Al obtener acceso a información sensible como credenciales y archivos de sistema, los atacantes pueden utilizar esa información para lanzar más ataques, una técnica llamada 'encadenamiento'. Esto puede llevar a un compromiso más extendido, impactando potencialmente en otros sistemas y aplicaciones."
Fuente: thehackernews