La Cybersecurity and Infrastructure Security Agency (CISA) des \u00c9tats-Unis a ajout\u00e9e<\/a> une faille de haute gravit\u00e9 affectant le ZK Framework \u00e0 son catalogue de vuln\u00e9rabilit\u00e9s exploit\u00e9es connues (KEV) sur la base de preuves d’exploitation active.<\/p>\n Suivi comme CVE-2022-36537<\/a> (score CVSS\u00a0: 7,5), le probl\u00e8me affecte les versions 9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 et 8.6.4.1 de ZK Framework, et permet aux pirates de r\u00e9cup\u00e9rer des informations sensibles via des requ\u00eates sp\u00e9cialement con\u00e7ues.<\/p>\n “Le ZK Framework est un framework Java open source,” CISA a dit<\/a>. “Cette vuln\u00e9rabilit\u00e9 peut affecter plusieurs produits, y compris, mais sans s’y limiter, ConnectWise R1Soft Server Backup Manager.”<\/p>\n Le vuln\u00e9rabilit\u00e9<\/a> a \u00e9t\u00e9 corrig\u00e9 en mai 2022 dans les versions 9.6.2, 9.6.0.2, 9.5.1.4, 9.0.1.3 et 8.6.4.2.<\/p>\n Comme d\u00e9montr\u00e9<\/a> par Huntress dans une preuve de concept (PoC) en octobre 2022, la vuln\u00e9rabilit\u00e9 peut \u00eatre militaris\u00e9e pour contourner l’authentification, t\u00e9l\u00e9charger un pilote de base de donn\u00e9es JDBC d\u00e9rob\u00e9 pour obtenir l’ex\u00e9cution de code et d\u00e9ployer un ran\u00e7ongiciel sur des terminaux sensibles.<\/p>\n Numen Cyber \u200b\u200bLabs, bas\u00e9 \u00e0 Singapour, en plus de publier son propre PoC en d\u00e9cembre 2022, mis en garde<\/a> qu’il a trouv\u00e9 plus de 4 000 instances de Server Backup Manager expos\u00e9es sur Internet.<\/p>\n La vuln\u00e9rabilit\u00e9 a depuis fait l’objet d’une exploitation massive, comme en t\u00e9moigne l’\u00e9quipe de recherche Fox-IT du groupe NCC la semaine derni\u00e8re, pour obtenir un acc\u00e8s initial et d\u00e9ployer une porte d\u00e9rob\u00e9e Web Shell sur 286 serveurs.<\/p>\n La majorit\u00e9 des infections se situent aux \u00c9tats-Unis, en Cor\u00e9e du Sud, au Royaume-Uni, au Canada, en Espagne, en Colombie, en Malaisie, en Italie, en Inde et au Panama. Au total, 146 serveurs R1Soft \u00e9taient toujours prot\u00e9g\u00e9s par une porte d\u00e9rob\u00e9e au 20 f\u00e9vrier 2023.<\/p>\n “Au cours de la compromission, l’adversaire a pu exfiltrer des fichiers de configuration VPN, des informations d’administration informatique et d’autres documents sensibles”, a d\u00e9clar\u00e9 Fox-IT. a dit<\/a>.<\/p>\n <\/p>\n