Otro día, otra hazaña de MFT.
En el último año, las aplicaciones de transferencia de archivos gestionadas (MFT) han experimentado un notable aumento de los ataques, una tendencia de la que hemos informado en múltiples ocasiones. Estas herramientas son objetivos apetecibles por varias razones: a menudo albergan datos confidenciales y suelen estar diseñadas para funcionar a través de interfaces accesibles desde la Web. Aunque esto último mejora la accesibilidad del usuario, también suele crear puntos de acceso iniciales adicionales, especialmente porque las interfaces de administración suelen estar mal configuradas para permitir el acceso desde la Internet pública.
GoAnywhere MFT de Fortra es una de esas herramientas que acaparó gran atención el año pasado por CVE-2023-0669, un día cero que fue objeto de una amplia explotación por parte de la banda de ransomware Cl0p.
GoAnywhere vuelve a ser noticia después de que ayer se publicara un PoC de una nueva vulnerabilidad: CVE-2024-0204, un error crítico de desviación de autenticación que permite a usuarios no autenticados crear cuentas de administrador a través de la consola administrativa.
El PoC demuestra lo fácil que es este exploit. Un actor malicioso puede aprovechar un error de path traversal para redirigir al vulnerable /InitialAccountSetup.xhtml endpoint, revelando la pantalla de configuración de cuenta inicial de GoAnywhere. Tenga en cuenta que esta vulnerabilidad afecta a la consola de administración, no a la interfaz de cliente web.
Aunque Fortra parcheó el problema en GoAnywhere 7.4.1 en diciembre, no se publicó un aviso de seguridad hasta hace unos días, lo que muestra un paso adelante en la transparencia tras una tendencia de revelaciones ocultas tras los muros de acceso de los clientes.
Censys Hallazgos:
A partir del miércoles 24 de enero, Censys ve un poco menos de 170 hosts que exponen las interfaces administrativas de GoAnywhere MFT en la Internet pública. Aunque este no es el nivel más extenso de exposición que hemos encontrado, es preocupante dada la naturaleza de los datos almacenados en estas instancias. El número relativamente pequeño de hosts desmiente el daño potencial que podría producirse con un solo ataque. Dada la facilidad con la que se encuentran y la sencillez del exploit, esperamos que cualquier instancia expuesta sin parches se vea probablemente comprometida.
Una interfaz de administrador GoAnywhere MFT vulnerable expuesta a Internet
La mayoría de estas interfaces de administración se ejecutan en los puertos por defecto - 8000 y 8001. Tenga en cuenta que puede haber más de un servicio por host.
Observamos una notable presencia de estas interfaces en Estados Unidos y Europa.
Más del 60% de estas interfaces están alojadas en redes en la nube de Amazon, Microsoft o Google.
Esperamos ver un aumento en la exploración y el compromiso de las instancias expuestas GoAnywhere MFT sin parches. Parchear inmediatamente es crucial.
Parece que las vulnerabilidades de GoAnywhere, de hecho, no van a ninguna parte por el momento.
