SecAtor

Более 12 000 брандмауэров GFI KerioControl подвержены эксплуатируемой критической RCE-уязвимости, отлеживаемой как CVE-2024-52875.

KerioControl — это пакет решений для сетевой безопасности, который предприятия малого и среднего бизнеса используют для обеспечения VPN, мониторинга и фильтрации трафика, создания отчетов, защиты и предотвращения вторжений.

Проблема была обнаружена в середине декабря исследователем Эгидио Романо (EgiX), который продемонстрировал потенциал опасных атак RCE, реализуемых в один клик.

Как отмечает обнаруживший проблему исследователь, пользовательский ввод, передаваемый на эти страницы через параметр GET «dest», не проходит надлежащую очистку перед использованием для генерации HTTP-заголовка «Location» в HTTP-ответе 302.

В частности, приложение некорректно фильтрует/удаляет символы перевода строки (LF). Это может быть использовано для выполнения атак HTTP Response Splitting, что, в свою очередь, позволяет реализовать XSS и, возможно, другие атаки.

При этом вектор Reflected XSS может быть использован для выполнения атак с удаленным выполнением кода в один клик.

GFI Software оперативно выпустила обновление для устранения проблемы в версии 9.4.5 Patch 1 от 19 декабря 2024 года.

Однако даже по прошествии трех недель, по данным Censys, более 23 800 экземпляров оставались уязвимыми.

В начале января Greynoise уже обнаружила активные попытки эксплуатации уязвимости с использованием представленного исследователем PoC, нацеленные на кражу административных CSRF-токенов.

Несмотря на предупреждение об активной эксплуатации, Shadowserver Foundation сообщает, что 12 229 межсетевых экранов KerioControl остаются уязвимыми для атак с использованием CVE-2024-52875.

Большинство из них детектиуруются в Иране, США, Италии, Германии, России, Казахстане, Узбекистане, Франции, Бразилии и Индии.

Благодаря наличию публичного PoC для CVE-2024-52875 требования к эксплуатации значительно упрощаются, что позволяет даже неопытным хакерам принимать участие в активной эксплуатации.

Так что если вы еще не установили обновление, настоятельно рекомендуем накатить KerioControl версии 9.4.5 Patch 2, выпущенную 31 января 2025 года, которая также содержит дополнительные улучшения по части безопасности.

Karmainsecurity

GFI Kerio Control <= 9.4.5 Multiple HTTP Response Splitting Vulnerabilities | Karma(In)Security

This is the personal website of Egidio Romano, a very curious guy from Sicily, Italy. He's a computer security enthusiast, particularly addicted to webapp security.

www.group-telegram.com/id/true_secator.com/6717

7.4K viewsFeb 11 at 11:00

Более 12 000 брандмауэров GFI KerioControl подвержены эксплуатируемой критической RCE-уязвимости, отлеживаемой как CVE-2024-52875.

KerioControl — это пакет решений для сетевой безопасности, который предприятия малого и среднего бизнеса используют для обеспечения VPN, мониторинга и фильтрации трафика, создания отчетов, защиты и предотвращения вторжений.

Проблема была обнаружена в середине декабря исследователем Эгидио Романо (EgiX), который продемонстрировал потенциал опасных атак RCE, реализуемых в один клик.

Как отмечает обнаруживший проблему исследователь, пользовательский ввод, передаваемый на эти страницы через параметр GET «dest», не проходит надлежащую очистку перед использованием для генерации HTTP-заголовка «Location» в HTTP-ответе 302.

В частности, приложение некорректно фильтрует/удаляет символы перевода строки (LF). Это может быть использовано для выполнения атак HTTP Response Splitting, что, в свою очередь, позволяет реализовать XSS и, возможно, другие атаки.

При этом вектор Reflected XSS может быть использован для выполнения атак с удаленным выполнением кода в один клик.

GFI Software оперативно выпустила обновление для устранения проблемы в версии 9.4.5 Patch 1 от 19 декабря 2024 года.

Однако даже по прошествии трех недель, по данным Censys, более 23 800 экземпляров оставались уязвимыми.

В начале января Greynoise уже обнаружила активные попытки эксплуатации уязвимости с использованием представленного исследователем PoC, нацеленные на кражу административных CSRF-токенов.

Несмотря на предупреждение об активной эксплуатации, Shadowserver Foundation сообщает, что 12 229 межсетевых экранов KerioControl остаются уязвимыми для атак с использованием CVE-2024-52875.

Большинство из них детектиуруются в Иране, США, Италии, Германии, России, Казахстане, Узбекистане, Франции, Бразилии и Индии.

Благодаря наличию публичного PoC для CVE-2024-52875 требования к эксплуатации значительно упрощаются, что позволяет даже неопытным хакерам принимать участие в активной эксплуатации.

Так что если вы еще не установили обновление, настоятельно рекомендуем накатить KerioControl версии 9.4.5 Patch 2, выпущенную 31 января 2025 года, которая также содержит дополнительные улучшения по части безопасности.

BY SecAtor