Progress Software ha pedido a sus clientes de ShareFile que apaguen manualmente los servidores que alojan los Storage Zone Controllers debido a una amenaza de seguridad externa. Aunque la empresa afirma no tener indicios de datos comprometidos, no ha detallado la naturaleza del riesgo ni ha proporcionado un parche. Esta medida drástica ha generado especulaciones sobre la posible existencia de una vulnerabilidad de ejecución remota de código.

Progress Software ha ordenado a algunos clientes de ShareFile que desconecten sus propios servidores tras detectar lo que describe como una "amenaza de seguridad externa creíble" dirigida al componente local de su plataforma de intercambio de archivos empresariales.

La advertencia de emergencia, enviada por correo electrónico, instruía a las organizaciones que utilizan ShareFile Storage Zone Controllers a tomar la medida inusual de apagar manualmente los servidores Windows que alojan el software, sin que se haya anunciado aún ningún parche o solución de configuración.

"Tenemos razones para creer que existe una amenaza de seguridad externa creíble dirigida a los Storage Zone Controllers de ShareFile de Progress Software", escribió la empresa, añadiendo que ya había desactivado el acceso a las cuentas de ShareFile que utilizan Storage Zone Controllers, pero advirtió que esto por sí solo no era suficiente.

"ACCIÓN INMEDIATA REQUERIDA: Debe apagar manualmente el servidor que aloja sus Storage Zone Controllers", continuaba el correo electrónico. "Este es un paso adicional crítico para garantizar la seguridad de sus datos".

La compañía afirmó que las restricciones se estaban imponiendo "por un exceso de precaución" mientras trabaja con expertos en seguridad internos y externos para investigar la amenaza. Los clientes informaron que Progress también estaba llamando directamente a las organizaciones afectadas para reforzar el mensaje.

Un aviso de seguimiento durante el fin de semana ofreció pocos detalles adicionales. Progress dijo que "no tiene indicios de acceso no autorizado a ninguna cuenta o dato de cliente de ShareFile, y no hemos identificado ninguna amenaza activa", pero instruyó a los clientes a mantener los Storage Zone Controllers fuera de línea incluso mientras se restauraban gradualmente los servicios en la nube.

Exactamente qué provocó una respuesta tan drástica sigue sin estar claro. Progress no ha revelado la naturaleza de la amenaza, si algún cliente ha sido comprometido, qué versiones de software están afectadas o cuándo podrán los administradores volver a encender los sistemas de forma segura.

La empresa no respondió a las preguntas realizadas.

Ese vacío de información ha alimentado las especulaciones. Un cliente de Progress en Reddit especuló que si el proveedor dice a los clientes que apaguen completamente los servidores, "es casi seguro que se trata de un RCE no autenticado que está siendo explotado en el entorno real".

Los Storage Zone Controllers son el componente local de ShareFile que permite a las organizaciones mantener los archivos en su propia infraestructura mientras continúan utilizando la plataforma en la nube de Progress para la autenticación y la gestión. Debido a que normalmente se encuentran en servidores Windows orientados a Internet, representan un objetivo atractivo si surge un fallo grave explotable remotamente.

El incidente llega también pocos meses después de que Progress parcheara dos vulnerabilidades críticas en ShareFile Storage Zone Controller v5 que podrían encadenarse para lograr la ejecución remota de código no autenticada, aunque la empresa no ha vinculado el incidente actual con esos errores.

Progress no es ajena a las crisis de seguridad. El proveedor pasó gran parte de 2023 y 2024 lidiando con las consecuencias de la explotación masiva de su software MOVEit Transfer por parte de la banda de ransomware Clop, una campaña que se convirtió en una de las mayores brechas de la cadena de suministro registradas.

Sea lo que sea que Progress haya encontrado esta vez, ha decidido que los clientes están mejor con sus servidores apagados que funcionando.

Fuente:
TheRegister