Los actores de amenazas están intentando aprovechar una falla de seguridad recientemente revelada que afecta GFI KerioControl cortafuegos que, si se explotan con éxito, podrían permitir a actores maliciosos lograr la ejecución remota de código (RCE).
La vulnerabilidad en cuestión, CVE-2024-52875se refiere a un avance de línea de retorno de carro (CRLF) ataque de inyección, allanando el camino para División de respuesta HTTPlo que podría provocar un error de secuencias de comandos entre sitios (XSS).
La explotación exitosa de la falla RCE de 1 clic permite a un atacante inyectar entradas maliciosas en los encabezados de respuesta HTTP mediante la introducción de caracteres de retorno de carro (r) y avance de línea (n).
La falla afecta a las versiones 9.2.5 a 9.4.5 de KerioControl, según el investigador de seguridad Egidio Romano, quien descubierto y reportado la falla a principios de noviembre de 2024.
Las fallas de división de la respuesta HTTP se han descubierto en las siguientes rutas de URI:
- /nonauth/addCertException.cs
- /nonauth/guestConfirm.cs
- /nonauth/expiration.cs
“La entrada del usuario pasada a estas páginas a través del parámetro GET ‘dest’ no se desinfecta adecuadamente antes de usarse para generar un encabezado HTTP ‘Ubicación’ en una respuesta HTTP 302”, Romano dicho.
“Específicamente, la aplicación no filtra/elimina correctamente los caracteres de avance de línea (LF). Esto puede explotarse para realizar ataques de división de respuesta HTTP, lo que, a su vez, podría permitirle llevar a cabo secuencias de comandos entre sitios reflejadas (XSS) y posiblemente otros ataques.”
GFI publicó una solución para la vulnerabilidad el 19 de diciembre de 2024, con versión 9.4.5 Parche 1. Desde entonces, se ha puesto a disposición un exploit de prueba de concepto (PoC).
Específicamente, un adversario podría crear una URL maliciosa de modo que un usuario administrador al hacer clic en ella active la ejecución de la PoC alojada en un servidor controlado por el atacante, que luego carga un archivo .img malicioso a través de la funcionalidad de actualización del firmware, otorgando acceso raíz a la URL. cortafuegos.
La firma de inteligencia de amenazas GreyNoise tiene reportado que los intentos de explotación dirigidos a CVE-2024-52875 comenzaron el 28 de diciembre de 2024, y los ataques se originaron en siete direcciones IP únicas de Singapur y Hong Kong hasta la fecha.
De acuerdo a censyshay más de 23.800 instancias de GFI KerioControl expuestas a Internet. La mayoría de estos servidores están ubicados en Irán, Uzbekistán, Italia, Alemania, Estados Unidos, Chequia, Bielorrusia, Ucrania, Rusia y Brasil.
Actualmente se desconoce la naturaleza exacta de los ataques que aprovechan la falla. Se recomienda a los usuarios de KerioControl que tomen medidas para proteger sus instancias lo antes posible para mitigar posibles amenazas.
About the Author
