El 5 de junio de 2024, SolarWinds reveló la vulnerabilidad CVE-2024-28995, una brecha de alta gravedad que afecta a su servidor de transferencia de archivos Serv-U. Esta vulnerabilidad impacta dos ediciones del producto: Serv-U FTP y Serv-U MFT.
Características de la vulnerabilidad
La explotación exitosa de CVE-2024-28995 permite a atacantes no autenticados leer archivos confidenciales en el servidor de destino. El equipo de investigación de vulnerabilidades de Rapid7 reprodujo la vulnerabilidad y confirmó que es trivialmente explotable, permitiendo a un atacante externo no autenticado acceder a cualquier archivo en el disco, siempre que conozcan la ruta y el archivo no esté bloqueado (es decir, abierto exclusivamente por algo más).
Versiones afectadas
Según el proveedor, las siguientes versiones de Serv-U se ven afectadas y se ejecutan en Windows o Linux:
- Servidor FTP Serv-U 15.4
- Puerta de enlace Serv-U 15.4
- Servidor Serv-U MFT 15.4
Uso potencial de la vulnerabilidad
Este problema de divulgación de información puede utilizarse en ataques de destrucción y captura (smash-and-grab) donde los adversarios obtienen acceso e intentan exfiltrar rápidamente datos de las soluciones de transferencia de archivos con el objetivo de extorsionar a las víctimas. Los productos de transferencia de archivos han sido atacados por una amplia gama de adversarios en los últimos años, incluidos grupos de ransomware.
Exposición a Internet
Las estimaciones de exposición a Internet para SolarWinds Serv-U varían sustancialmente según la consulta utilizada. Por ejemplo, estar expuesto no significa automáticamente vulnerable:
- FOFA Link: https://en.fofa.info/result?qbase64=YXBwPSJTb2xhcldpbmRzLVNlcnYtVS1GVFAi
- FOFA Query: app=»SolarWinds-Serv-U-FTP»
- 9.470 instancias de Serv-U expuestas (búsqueda de favicon)
- 5.434 instancias Serv-U expuestas (búsqueda de nombre de producto)
Recomendaciones para los usuarios
Los clientes de SolarWinds Serv-U deben aplicar la revisión proporcionada por el proveedor de inmediato. No se sabe que CVE-2024-28995 esté explotado en estado salvaje pero se recomienda instalar la revisión proporcionada por el proveedor (Serv-U 15.4.2 HF 2) inmediatamente, sin esperar a que se produzca un ciclo de parche regular.