Se ha revelado una nueva vulnerabilidad crítica en el software de transferencia administrada de archivos (MFT) Fortra GoAnywhere, que podría permitir a actores maliciosos acceder a sistemas y redes de clientes. La vulnerabilidad, identificada como CVE-2024-0204, fue parchada por Fortra el 4 de diciembre de 2023, pero su revelación pública se produjo recientemente.
Exploit publicado y riesgos asociados
Horizon3 ha publicado detalles sobre cómo explotar CVE-2024-0204. Esta vulnerabilidad de omisión de autenticación podría permitir a un usuario no autorizado crear un usuario administrador mediante el portal de administración del producto, lo que facilitaría el control remoto completo del entorno de un cliente y el acceso a su red.
La puntuación CVSS de la vulnerabilidad es de 9,8, lo que refleja su gravedad. La publicación del código de explotación podría incrementar el riesgo de ataques contra instalaciones no parchadas de GoAnywhere MFT.
Vulnerabilidades anteriores y contexto
El producto GoAnywhere MFT fue atacado previamente por el grupo de ransomware Clop, similar a su campaña MOVEit. En ese caso, se explotó una falla de ejecución remota de código (CVE-2023-0669), lo que permitió al grupo comprometer los datos de alrededor de 100 organizaciones.
La publicación del código de explotación para CVE-2024-0204 ha generado preocupación en círculos de ciberdelincuencia. Un proveedor ya está observando rumores sobre el uso de este código por parte de actores maliciosos.
Recomendaciones y monitoreo
Joe Honey, ingeniero de inteligencia de amenazas de Searchlight Cyber, ha alertado sobre la circulación de código de explotación en canales como Telegram. Recomienda que las organizaciones prioricen el parche lanzado por Fortra y supervisen el grupo de usuarios administradores dentro del software para detectar actividades no reconocidas.
Horizon3 ha proporcionado indicadores para comprobar si una organización podría haber sido atacada. El indicador más fácil es la presencia de nuevas incorporaciones al grupo Usuarios administradores en la sección Usuarios -> Usuarios administradores del portal de administración de GoAnywhere. La fecha aproximada del compromiso puede evaluarse mediante el historial de actividad de inicio de sesión.
Además, los registros de la base de datos se almacenan en \GoAnywhere\userdata\database\goanywhere\log\*.log. Estos archivos contienen el historial de transacciones de la base de datos, incluyendo entradas generadas por la creación de usuarios.