Ένα Proof-of-Concept δημοσιεύτηκε πρόσφατα για μια κρίσιμη ευπάθεια εκτέλεσης απομακρυσμένου κώδικα (RCE) στο CrushFTP enterprise suite, επιτρέποντας σε μη πιστοποιημένους επιτιθέμενους να αποκτήσουν πρόσβαση σε αρχεία στον διακομιστή, να εκτελέσουν κώδικα και να αποκτήσουν κωδικούς πρόσβασης σε απλό κείμενο.
Δείτε επίσης: Atlassian: Νέα εκμετάλλευση του σφάλματος διαγραφής δεδομένων στο Confluence
Η ευπάθεια ανακαλύφθηκε τον Αύγουστο του 2023 (CVE-2023-43177), από ερευνητές ασφαλείας της Converge, οι οποίοι την ανέφεραν υπεύθυνα στον προμηθευτή. Οι προγραμματιστές κυκλοφόρησαν μια διόρθωση εντός μίας μέρας στην έκδοση CrushFTP 10.5.2.
Πρόσφατα η Converge δημοσίευσε ένα Proof-of-Concept εκμετάλλευσης για την ευπάθεια CVE-2023-43177, καθιστώντας κρίσιμη την εγκατάσταση ενημερώσεων ασφαλείας για τους χρήστες του CrushFTP το συντομότερο δυνατόν.
Η εκμετάλλευση του CrushFTP RCE γίνεται μέσω μιας μη εξουσιοδοτημένης ευπάθειας μαζικής ανάθεσης, εκμεταλλευόμενη την ανάλυση του AS2 header που ελέγχει τις ιδιότητες της συνεδρίας του χρήστη. Αυτό επιτρέπει στους επιτιθέμενους να διαβάζουν και να διαγράφουν αρχεία, με το πιθανό αποτέλεσμα να αποκτήσουν πλήρη έλεγχο του συστήματος και εκτέλεση κώδικα απομακρυσμένα σε επίπεδο root.
Οι επιτιθέμενοι μπορούν να αποστείλουν φορτία στην υπηρεσία CrushFTP σε συγκεκριμένες θύρες (80, 443, 8080, 9090) χρησιμοποιώντας κεφαλίδες ιστού, οι οποίες αφήνουν αποτυπώματα στα αρχεία καταγραφής. Στη συνέχεια, οι επιτιθέμενοι αντικαθιστούν τα δεδομένα της συνεδρίας χρησιμοποιώντας τη λειτουργία ‘putAll()‘ της Java, κάνοντας δυνατή την προσωποποίηση των ‘διαχειριστών’, και αξιοποιούν τη λειτουργία ‘drain_log()‘ για την παραπλάνηση αρχείων κατά τη διάρκεια της επίθεσης, διατηρώντας την αθέατη παρουσία τους.
Δείτε ακόμα: VMware: Δημόσια εκμετάλλευση ελαττώματος RCE στο vRealize
Στο τέλος, οι επιτιθέμενοι μπορούν να εκμεταλλευτούν το αρχείο ‘sessions.obj‘ στον φάκελο εγκατάστασης του προγράμματος για να παραβιάσουν ζωντανές συνεδρίες χρηστών που ανήκουν σε λογαριασμούς διαχειριστή, επιτυγχάνοντας ουσιαστικά αύξηση των προνομίων. Αφού έχει εξασφαλίσει πρόσβαση ως διαχειριστής, ο εισβολέας μπορεί να εκμεταλλευτεί ελαττώματα στο χειρισμό του φορτωτή SQL και τη δοκιμή ρύθμισης βάσης δεδομένων (testDB) του πίνακα διαχείρισης για να εκτελέσει αυθαίρετο κώδικα Java.
Σύμφωνα με την έκθεση της Converge, υπάρχουν περίπου 10.000 περιπτώσεις του CrushFTP που είναι ορατές στο κοινό και πιθανότατα πολλές ακόμα πίσω από εταιρικά τείχη προστασίας. Η επιφάνεια επίθεσης είναι σημαντική, ακόμα κι αν δεν έχει προσδιοριστεί ακόμα ο αριθμός των ευάλωτων περιπτώσεων.
Προϊόντα μεταφοράς αρχείων όπως το CrushFTP είναι ιδιαίτερα ελκυστικά για τους δράστες των ransomware, ειδικά του Clop, που εκμεταλλεύεται ευπάθειες zero-day σε λογισμικά όπως το MOVEit Transfer, το GoAnywhere MFT και το Accelion FTA για να πραγματοποιήσει επιθέσεις κλοπής δεδομένων.
Δυστυχώς, οι ερευνητές αποκάλυψαν ότι ακόμα και η εφαρμογή των ενημερώσεων δεν ασφαλίζει πλήρως τα CrushFTP endpoints από όλες τις πιθανές απειλές.
Δείτε επίσης: Εκπαίδευση: Αυξημένες οι επιθέσεις μέσω phishing και εκμετάλλευσης ευπαθειών
Οι πιθανοί κίνδυνοι και συνέπειες της μη αναβάθμισης είναι πολλαπλοί και σοβαροί. Πρώτον, η εκμετάλλευση της ευπάθειας μπορεί να αποκτήσει απομακρυσμένη πρόσβαση και έλεγχο στο σύστημά σας. Αυτό σημαίνει ότι μπορεί να αναγνωρίσει, να αλλάξει ή να διαγράψει δεδομένα, να εκτελέσει κακόβουλο κώδικα ή να προκαλέσει ζημιά στο σύστημά σας.
Δεύτερον, ο επιτηθέμενος μπορεί να χρησιμοποιήσει το σύστημά σας ως πύλη για επιθέσεις σε άλλα συστήματα. Αυτό μπορεί να οδηγήσει σε απώλεια εμπιστευτικών πληροφοριών, κλοπή δεδομένων ή ακόμα και στην παραβίαση της ασφάλειας τρίτων.
Τρίτον, η μη αναβάθμιση μπορεί να οδηγήσει σε παραβίαση της συμμόρφωσης με τους κανονισμούς και τις νομοθεσίες περί προστασίας δεδομένων. Αυτό μπορεί να έχει σοβαρές νομικές συνέπειες, όπως πρόστιμα ή ακόμα και αγωγές από τους πελάτες ή τους περισσότερους ενδιαφερόμενους.
Τέλος, η μη αναβάθμιση μπορεί να οδηγήσει σε απώλεια εμπιστοσύνης από τους πελάτες και τους χρήστες σας. Όταν οι πελάτες αντιλαμβάνονται ότι το σύστημα σας είναι ευάλωτο σε επιθέσεις, μπορεί να αποφασίσουν να μετακινηθούν σε άλλες πιο ασφαλείς εναλλακτικές λύσεις.
Πηγή: bleepingcomputer
 στο CrushFTP enterprise suite.){kind=link}