El 5 de junio de 2024, SolarWinds reveló CVE-2024-28995, una vulnerabilidad de Path Traversal de alta gravedad que afecta a su servidor de transferencia de archivos Serv-U, que viene en dos ediciones (Serv-U FTP y Serv-U MFT).

La explotación exitosa de la vulnerabilidad permite a atacantes no autenticados leer archivos confidenciales en el servidor de destino. El equipo de investigación de vulnerabilidades de Rapid7 reprodujo la vulnerabilidad y confirmó que es trivialmente explotable y permite que un atacante externo no autenticado lea cualquier archivo en el disco, incluidos archivos binarios, siempre que conozcan la ruta y el archivo no esté bloqueado (es decir, abierto exclusivamente por algo más).

Según el proveedor, las siguientes versiones de Serv-U se ven afectadas y se ejecutan en Windows o Linux:

• Servidor FTP Serv-U 15.4
• Puerta de enlace Serv-U 15.4
• Servidor Serv-U MFT 15.4

Este problema de divulgación de información se puede utilizar en ataques de destrucción y captura (smash-and-grab) en los que los adversarios obtienen acceso e intentan exfiltrar rápidamente datos de las soluciones de transferencia de archivos con el objetivo de extorsionar a las víctimas. Los productos de transferencia de archivos han sido atacados por una amplia gama de adversarios en los últimos años, incluidos grupos de ransomware.

curl -i -k --path-as-is http://192.168.86.68/?InternalDir=/../../^&InternalFile=hax

Las estimaciones de exposición a Internet para SolarWinds Serv-U varían sustancialmente según la consulta utilizada. Por ejemplo, estar expuesto no significa automáticamente vulnerable:

• FOFA Link: https://en.fofa.info/result?qbase64=YXBwPSJTb2xhcldpbmRzLVNlcnYtVS1GVFAi
• FOFA Query: app="SolarWinds-Serv-U-FTP"
• 9.470 instancias de Serv-U expuestas (búsqueda de favicon)
• 5.434 instancias Serv-U expuestas (búsqueda de nombre de producto)

Los clientes de SolarWinds Serv-U deben aplicar la revisión proporcionada por el proveedor de inmediato. No se sabe que CVE-2024-28995 esté explotado en estado salvaje pero se recomienda instalar la revisión proporcionada por el proveedor (Serv-U 15.4.2 HF 2) inmediatamente, sin esperar a que se produzca un ciclo de parche regular.

Fuente: Rapid7

https://attackerkb.com/topics/2k7UrkHyl3/cve-2024-28995/rapid7-analysis

https://blog.segu-info.com.ar/2024/06/vulnerabilidad-de-divulgacion-de.html