Ataque à SolarWinds: Explorações ativas da vulnerabilidade do Serv-U

Uma vulnerabilidadesignificativa nosoftware de transferência de arquivos Serv-U, da SolarWinds, foi corrigida recentemente. A vulnerabilidade, identificada como CVE-2024-28995, possui uma pontuação CVSS de 8,6, o que indica sua alta gravidade, e está sendo ativamente explorada. Para evitar a exploração, as organizações devem atualizar para a versão mais recente. Esse ataque à SolarWinds, um bug de traversal de diretório, permite que invasores acessem arquivos confidenciais na máquina hospedeira, o que pode levar a graves violações de segurança. Vamos dar uma olhada na análise detalhada do ataque à SolarWinds para entender o impacto e prevenir futuras violações.

Versões afetadas e detalhes da correção

A falha afeta todas as versões do software Serv-U até a versão Serv-U 15.4.2 HF 1, inclusive. A SolarWinds corrigiu esse problema em sua versão mais recente, o Serv-U 15.4.2 HF 2 (15.4.2.157), que foi disponibilizada no início deste mês. Os usuários dos seguintes produtos estão particularmente vulneráveis:

• Serv-U FTP Server 15.4
• Serv-U Gateway 15.4
• Serv-U MFT Server 15.4
• Serv-U File Server 15.4

Ataque à SolarWinds – Descoberta e exploração

Hussein Daher, pesquisador de segurança da Web Immunify, é reconhecido por ter descoberto e relatado a falha de alta gravidade. Após a divulgação pública, foram divulgadas informações técnicas detalhadas e uma exploração de prova de conceito (PoC), permitindo que um leque mais amplo de invasores explorasse essa vulnerabilidade. A empresa de segurança cibernética Rapid7 descreveu a vulnerabilidade como fácil de explorar, permitindo que invasores externos não autenticados leiam qualquer arquivo no disco, desde que conheçam o caminho do arquivo e este não esteja bloqueado.

Panorama de impactos e ameaças

De acordo com a Rapid7, problemas de divulgação de informações de alta gravidade, como o CVE-2024-28995, costumam ser utilizados em ataques do tipo “smash-and-grab”. Nesses ataques de hackers do SolarWinds, os invasores extraem rapidamente dados de soluções de transferência de arquivos para extorquir as vítimas. Embora essa falha específica não seja um ataque de execução remota de código(RCE), vulnerabilidades em softwares de transferência de arquivos podem frequentemente servir como trampolim para explorações mais graves, incluindo RCE, especialmente quando combinadas com outras falhas.

Nos últimos anos, os produtos de transferência de arquivos têm sido alvo frequente de diversos adversários, incluindo grupos de ransomware.

A empresa de inteligência contra ameaças GreyNoise informou que os invasores já começaram a utilizar o malware do ataque SolarWinds. Foram observados ataques oportunistas contra os servidores honeypot da GreyNoise, com os invasores tentando acessar arquivos confidenciais, como o /etc/passwd. Alguns desses ataques foram rastreados até fontes na China.

Resumo do ataque à SolarWinds

Dado o histórico de vulnerabilidades não corrigidas no software Serv-U que vêm sendo exploradas por agentes mal-intencionados, é fundamental que os usuários apliquem as atualizações mais recentes imediatamente. A disponibilidade de PoCs acessíveis ao público reduz significativamente as barreiras para os agentes mal-intencionados, facilitando a exploração dessa falha.

Naomi Buckwalter, diretora de segurança de produtos da Contrast Security, destacou o potencial dessa vulnerabilidade de servir como porta de entrada para novos ataques. Ao obter acesso a informações confidenciais, como credenciais e arquivos do sistema, os invasores podem usar esses dados para lançar ataques mais abrangentes, um método conhecido como “encadeamento”. Isso poderia resultar em um comprometimento mais amplo, afetando outros sistemas e aplicativos.

Conclusão

A recente exploração da vulnerabilidade CVE-2024-28995 no software Serv-U da SolarWinds ressalta a necessidade crítica de aplicação oportuna de patches e de medidas de segurança robustas. À medida que as ameaças cibernéticas continuam a evoluir, manter os sistemas atualizados e aplicar patches de segurança prontamente é essencial para proteger informações confidenciais e garantir a continuidade dos negócios.

Os usuários dos produtos Serv-U devem priorizar a atualização para a versão mais recente, a fim de mitigar riscos potenciais e se proteger contra ataques maliciosos. Mantenha-se informado sobre as últimas notícias relacionadas ao ataque da SolarWinds e proteja seus sistemas contra ameaças emergentes.

As fontes utilizadas neste artigo incluem matérias publicadas no The Hacker News e no TechTarget.