SK-CERT Bezpečnostné varovanie V20240709-03

9. júla 2024

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

Rejetto HTTP File Server – kritická bezpečnostná zraniteľnosť

Popis

Vývojári webového servera na zdieľanie súborov HTTP File Server vydali bezpečnostnú aktualizáciu svojho produktu, ktorá opravuje kritickú bezpečnostnú zraniteľnosť.
Kritická bezpečnostná zraniteľnosť spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom zaslania špeciálne vytvorenej požiadavky vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému.
Na uvedenú zraniteľnosť je v súčasnosti voľne dostupný Proof-of-Concept kód.
Zraniteľnosť je v súčasnosti aktívne zneužívaná útočníkmi.

Dátum prvého zverejnenia varovania

6.6.2024

CVE

CVE-2024-23692

IOC

MD5 hash:
ce7dc5df5568a79affa540aa86b24773 (Gh0st RAT – 2345.exe)
8f0071027d513867feb3eb8943ccaf05 (Gh0st RAT – systeminfo.exe)
77970a04551636cc409e90d39bbea931 (PlugX Loader – Roboform.dll)
6adaeb6543955559c05a9de8f92d1e1d (PlugX [Encoded] – WindowsWatcher.key)
4383b1ea54a59d27e5e6b3122b3dadb2 (GoThief – conost.exe)

C&C server:
154.201.87[.]185:999 (Gh0st RAT)
164.155.205[.]99:999 (Gh0st RAT)
support.firewallsupportservers[.]com:80/443/53/8080 (PlugX)
hxxp://188.116.22[.]65:5000/submit (GoThief)

URL:
hxxp://121.204.249[.]123/2345.exe (Gh0st RAT)
hxxp://121.204.249[.]123:8077/systeminfo.exe (Gh0st RAT)
hxxp://185.173.93[.]167:13306/Roboform.dll (PlugX Loader)
hxxp://185.173.93[.]167:13306/WindowsWatcher.key (PlugX [Encoded])
hxxps://imgdev.s3.eu-west-3.amazonaws[.]com/dev/20210623/conost.exe (GoThief)

Zasiahnuté systémy

HTTP File Server vo verzii staršej ako v3.x

Následky

Vykonanie škodlivého kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému

Odporúčania

Administrátorom a používateľom odporúčame vykonať aktualizáciu zasiahnutých systémov.
Rovnako odporúčame preveriť všetky dostupné logy na prítomnosť IOC a pokusov o zneužitie zraniteľnosti.
Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.

Zdroje

https://asec.ahnlab.com/en/67650/
https://github.com/rapid7/metasploit-framework/pull/19240
https://vulncheck.com/advisories/rejetto-unauth-rce
https://attackerkb.com/topics/d9AVVdmNhH/cve-2024-23692

« Späť na zoznam

Dôležité odkazy