Tehdit aktörleri, web kabuklarını yüklemek ve sunuculara uzaktan erişim elde etmek için Projectsend'de kritik bir kimlik doğrulama baypası kusuru için kamu istismarlarını kullanıyor.
CVE-2024-11680 olarak izlenen kusur, R1720'den önce ProjectsEnd sürümlerini etkileyen kritik bir kimlik doğrulama hatasıdır ve saldırganların uygulamanın yapılandırmasını değiştirmek için özel olarak hazırlanmış HTTP isteklerini 'options.php' için göndermesine izin verir.
Başarılı sömürü, haydut hesapların oluşturulmasına, webshell'lerin ekilmesine ve kötü niyetli JavaScript kodunun yerleştirilmesine izin verir.
Kusur 16 Mayıs 2023'te sabitlenmiş olsa da, düne kadar bir CVE atanmadı, kullanıcıları ciddiyetinden ve güvenlik güncellemesini uygulamanın aciliyetinden habersiz bıraktı.
Aktif sömürüyü tespit eden Vulncheck'e göre, yama temposu şimdiye kadar uçsiz kaldı ve ProjectSend örneklerinin% 99'u hala savunmasız bir versiyona sahip.
ProjectSend, bir sunucu yöneticisi ve istemciler arasında güvenli, özel dosya aktarımlarını kolaylaştırmak için tasarlanmış açık kaynaklı bir dosya paylaşımı web uygulamasıdır.
Google Drive ve Dropbox gibi üçüncü taraf hizmetlere göre kendi kendine barındırılan çözümleri tercih eden kuruluşlar tarafından kullanılan orta derecede popüler bir uygulamadır.
Vulncheck, Censys, çoğu savunmasız olan yaklaşık 4.000 halka açık proje örneği olduğunu bildiriyor.
Özellikle, araştırmacılar, Shodan verilerine dayanarak, Ekim 2022'de piyasaya sürülen maruz kalan örneklerin% 55'inin R1605'i çalıştırdığını,% 44'ünün Nisan 2023'ten itibaren isimsiz bir sürüm kullandığını ve sadece% 1'inin yamalı versiyon R1750'de olduğunu bildiriyor.
Vulncheck raporları, kullanıcı kaydını etkinleştirmek için sistem ayarlarının değiştirilmesi, yetkisiz erişim elde etmek ve tehlike altına alınmış sunucular üzerinde kontrolü korumak için web kabuklarını dağıtmak da dahil olmak üzere, sadece testin ötesine uzanan CVE-2024-11680'in aktif sömürüsünü gördüğünü bildirir.
Bu etkinlik, Metasploit ve Nuclei'nin CVE-2024-11680 için kamu istismarlarını yayınladığı Eylül 2024'ten bu yana arttı.
Raporu, "Vulncheck, halka açık Projectsend Sunucularının açılış sayfası başlıklarını uzun, rastgele-ish dizelerine değiştirmeye başladığını fark etti."
Diyerek şöyle devam etti: "Bu uzun ve rastgele isimler hem çekirdeklerin hem de metasploit'in güvenlik açığı test mantığını nasıl uyguladığına uygun."
Diyerek şöyle devam etti: "Her ikisi de istismar araçları, siten adını (ve dolayısıyla HTTP başlığını) rastgele bir değerle değiştirmek için kurbanın yapılandırma dosyasını değiştirir."
Geynoise, bu etkinliğe bağlı 121 IP'leri listeler ve izole bir kaynaktan ziyade yaygın girişimler önerir.
Vulncheck, Web Shells'in bir Posix zaman damgası, kullanıcı adının SHA1 karma ve orijinal dosya adı/uzantısından oluşturulan adlarla 'Yükleme/Dosyalar' dizininde saklandığı konusunda uyarır.
Web sunucusu aracılığıyla bu dosyalara doğrudan erişim, aktif sömürü gösterir.
Araştırmacılar, R1750 sürümüne yükseltmenin en kısa sürede, saldırıların zaten yaygın olduğu için kritik olduğu konusunda uyarıyorlar.
Bilgisayar korsanları PTZ kameralarda kritik sıfır gün güvenlik açığını hedeflemek
CISA Etiketleri Kemp LoadMaster Kusurunu Saldırılarda Sömürüldüğü Gibi
Oracle, Agile Plm Dosya Açıklama Kusurunu Saldırılardan Sömürülen uyarıyor
Milyonlarca WordPress sitesindeki güvenlik eklentisi kusuru, yönetici erişimi sağlar
EOL D-Link NAS cihazlarında kritik hata artık saldırılarda sömürüldü
Kaynak: Bleeping Computer