Los actores de amenazas están aprovechando fallas en la plataforma ServiceNow para realizar ataques que permiten el acceso no autorizado a sistemas gubernamentales y empresas privadas. Estos ataques se basan en exploits disponibles públicamente, lo que facilita su utilización por parte de actores maliciosos.
Aunque ServiceNow publicó actualizaciones de seguridad para las vulnerabilidades el 10 de julio de 2024, decenas de miles de sistemas siguen siendo potencialmente vulnerables. Según información publicada por The Stack, un atacante no autenticado podría encadenar un trío de vulnerabilidades críticas de ServiceNow para lograr una ejecución remota completa de código (RCE), con casi 42.000 instancias expuestas en el momento de la divulgación.
Las vulnerabilidades encontradas inicialmente por los especialistas de Assetnote ya están parcheadas, pero se han observado intentos de explotación que aprovechan estas vulnerabilidades en más de 6.000 sitios de diversas industrias, especialmente en la industria de servicios financieros.
Detalles de explotación
ServiceNow es una plataforma basada en la nube utilizada para gestionar flujos de trabajo digitales en organizaciones. Se adopta ampliamente en diversos sectores, incluidas instituciones gubernamentales, atención médica y grandes empresas.
Los escaneos de Internet arrojan casi 300.000 instancias expuestas a Internet, lo que refleja la popularidad del producto:
- FOFA
- SHODAN
- HUNTERS
El 10 de julio de 2024, ServiceNow puso a disposición revisiones para CVE-2024-4879, una falla de validación de entrada crítica que permite a usuarios no autenticados realizar la ejecución remota de código en múltiples versiones de Now Platform.
Al día siguiente, los investigadores de Assetnote publicaron un artículo detallado sobre CVE-2024-4879 y dos fallas más (CVE-2024-5178 y CVE-2024-5217) en ServiceNow que se pueden encadenar para obtener acceso completo a la base de datos.
Pronto, GitHub se vio inundado de exploits funcionales basados en la redacción y escáneres de red masivos para CVE-2024-4879, lo que los actores de amenazas aprovecharon casi de inmediato para encontrar instancias vulnerables.
La explotación vista por Resecurity utiliza una inyección para verificar un resultado específico en la respuesta del servidor, seguida de una carga útil de segunda etapa que verifica el contenido de la base de datos. Si tiene éxito, el atacante descarga listas de usuarios y credenciales de las cuentas habilitadas.
Resecurity ha visto una gran cantidad de conversaciones sobre las fallas de ServiceNow en foros clandestinos, especialmente por parte de usuarios que buscan acceso a mesas de servicio de TI y portales corporativos, lo que indica un gran interés por parte de la comunidad de delitos cibernéticos.
ServiceNow puso a disposición correcciones para las tres vulnerabilidades a principios de este mes en boletines separados. Se recomienda a los usuarios verificar la versión indicada en los avisos y asegurarse de haber aplicado el parche en todas las instancias o hacerlo lo antes posible si no lo han hecho.