Fortra ha lanzado una actualización de seguridad para corregir una vulnerabilidad crítica en su producto GoAnywhere Managed File Transfer (MFT), identificada como CVE-2025-10035. La falla, con puntuación CVSS 10.0, permite la inyección remota de comandos sin autenticación.
Detalles de la vulnerabilidad
La vulnerabilidad se encuentra en el Servlet de Licencia de GoAnywhere MFT y permite a un actor con una firma de respuesta de licencia falsificada deserializar un objeto arbitrario controlado por él. Esto podría llevar a la ejecución de comandos remotos, según lo declarado por Fortra en su aviso de seguridad.
Recomendaciones para usuarios
Fortra recomienda a los usuarios actualizar el software a la versión parcheada (7.8.4 o 7.6.3) para protegerse contra posibles amenazas. Si no es posible aplicar el parche de inmediato, se sugiere restringir el acceso externo a la Consola de Administración.
Contexto y antecedentes
La compañía ha señalado que la explotación exitosa de la vulnerabilidad depende de que el sistema sea accesible públicamente a través de Internet. Aunque Fortra no menciona que la falla se esté explotando in-situ, se destaca que vulnerabilidades previamente descubiertas en el mismo producto han sido utilizadas como Zero-Day por actores de ransomware.
Historial de vulnerabilidades
A principios del año pasado, Fortra abordó otra vulnerabilidad crítica en GoAnywhere MFT (CVE-2024-0204, CVSS: 9.8), que podría haber sido explotada para crear nuevos usuarios administradores.
Posible explotación
Con miles de instancias de GoAnywhere MFT expuestas a Internet, es casi seguro que este problema se aprovechará pronto para su explotación in situ. Las organizaciones deben asumir que son vulnerables y aplicar los parches oficiales de inmediato.
Recomendaciones adicionales
Fortra recomienda a los administradores inspeccionar los archivos de registro en busca de errores que contengan la cadena ‘SignedObject.getObject’ para determinar si una instancia se ha visto afectada.