La plate-forme logicielle de gestion des services informatiques ConnectWise a publié des correctifs logiciels pour une vulnérabilité de sécurité critique dans Recover et R1Soft Server Backup Manager (SBM).
Le problème, caractérisé en tant que « neutralisation d’éléments spéciaux dans la sortie utilisés par un composant en aval », pourrait être utilisé abusivement pour entraîner l’exécution de code à distance ou la divulgation d’informations sensibles.
L’avis de ConnectWise note que la faille affecte Recover v2.9.7 et versions antérieures, ainsi que R1Soft SBM v6.16.3 et versions antérieures, sont affectées par la faille critique.
À la base, le problème est lié à une vulnérabilité de contournement d’authentification en amont dans le framework d’application Web Ajax open source ZK (CVE-2022-36537), qui a été initialement corrigé en mai 2022.
« Les SBM ConnectWise Recover concernés ont été automatiquement mis à jour vers la dernière version de Recover (v2.9.9) », la société a ditexhortant les clients à passer à SBM v6.16.4 expédié le 28 octobre 2022.
Entreprise de cybersécurité Huntress a dit il a identifié « plus de 5 000 instances de sauvegarde de gestionnaire de serveur exposées », exposant potentiellement les entreprises aux risques de la chaîne d’approvisionnement.
Bien qu’il n’y ait aucune preuve d’exploitation active de la vulnérabilité dans la nature, une preuve de concept conçue par les chercheurs de Huntress John Hammond et Caleb Stewart montre qu’il peut être abusé pour contourner l’authentification, obtenir l’exécution de code à distance sur SBM et pousser LockBit 3.0 ransomware à tous les terminaux en aval.
« Il est important de noter que la vulnérabilité ZK en amont affecte non seulement R1Soft, mais également toute application utilisant une version non corrigée du framework ZK », ont déclaré les chercheurs.
« L’accès qu’un attaquant peut obtenir en utilisant cette vulnérabilité de contournement d’authentification est spécifique à l’application exploitée, mais il existe un risque sérieux que d’autres applications soient affectées de la même manière que R1Soft Server Backup Manager. »