Progress Software insta a los usuarios a actualizar sus instancias de Telerik Report Server tras el descubrimiento de una falla de seguridad crítica que podría provocar la ejecución remota de código.
La vulnerabilidad, rastreada como CVE-2024-6327 (Puntuación CVSS: 9,9), afecta a la versión 2024 Q2 (10.1.24.514) y anteriores del servidor de informes.
«En las versiones de Progress Telerik Report Server anteriores al segundo trimestre de 2024 (10.1.24.709), es posible un ataque de ejecución remota de código a través de una vulnerabilidad de deserialización insegura», dijo la empresa. dicho en un aviso.
Defectos de deserialización ocurre cuando una aplicación reconstruye datos no confiables que un atacante tiene control sin una validación adecuada, lo que resulta en la ejecución de comandos no autorizados.
Progress Software afirmó que la falla se ha solucionado en la versión 10.1.24.709. Como mitigación temporal, se recomienda cambiar el usuario del grupo de aplicaciones del servidor de informes a uno con permisos limitados.
Los administradores pueden comprobar si sus servidores son vulnerables a ataques siguiendo estos pasos:
- Vaya a la interfaz web del servidor de informes e inicie sesión con una cuenta con derechos de administrador
- Abra la página de Configuración (~/Configuración/Índice).
- Seleccione la pestaña Acerca de y el número de versión se mostrará en el panel de la derecha.
La revelación se produce casi dos meses después de que la compañía solucionara otra deficiencia crítica en el mismo software (CVE-2024-4358, puntuación CVSS: 9,8) que un atacante remoto podría aprovechar para eludir la autenticación y crear usuarios administradores no autorizados.