Se
ha confirmado
una vulnerabilidad en el proyecto Apache Struts que podría permitir a un
atacante remoto ejecutar código arbitrario en los sistemas afectados. El
problema se agrava por la existencia de una prueba de concepto pública que se
está aprovechando en ataques de forma activa.
Struts es un entorno de trabajo
de código abierto para el desarrollo de aplicaciones web en Java EE bajo el
patrón MVC (Modelo Vista Controlador). Desarrollado por la Apache Software
Foundation, en un primer momento formaba parte del proyecto Jakarta,
convirtiéndose en proyecto independiente en 2005.
En esta ocasión ha sido el equipo
de Cisco Talos el que ha alertado
de la existencia de ataques aprovechando esta vulnerabilidad de forma activa. El
problema, considerado de gravedad alta (con CVE-2017-5638), es una ejecución
remota de código que afecta al analizador Jakarta Multipart de Apache Struts. Si
el valor de Content-Type no es válido se genera una excepción que se utiliza
para mostrar un mensaje de error a un usuario, de esta forma el atacante puede modificar
la cabecera Content-Header para inyectar comandos de sistema operativo en el
servidor.
Se confirma la posibilidad de ejecución
de comandos simples (como, whoami) de forma sencilla, pero también se pueden
ejecutar comandos más sofisticados, incluyendo el despliegue de un ELF
malicioso y su ejecución.
Uno de los ejemplos de la vulnerabilidad para ejecutar un simple comando Linux. Fuente: Cisco Talos
La forma más sencilla para evitar
las vulnerabilidades es actualizar a Apache Struts versiones 2.3.32
o 2.5.10.1;
disponibles desde:
La
suite ofimática de código abierto LibreOffice
se ha actualizado
recientemente para corregir una vulnerabilidad que podría permitir a un
atacante lograr la ejecución remota de
código.
LibreOffice es una suite
ofimática de código abierto y gratuita. Cuenta con aplicaciones de hojas de
cálculo (Calc), procesador de textos (Writer), bases de datos (Base),
presentaciones (Impress), gráficos vectorial (Draw), y creación y edición de
fórmulas matemáticas (Math).
El problema, con CVE-2016-4324, ha sido descubierto
por el equipo de investigadores de Cisco Talos. Reside en un uso de memoria después
de liberarla en el tratamiento de documentos RTF (Rich Text Format) que contengan
tanto hojas de estilo como elementos superíndice. Un documento RTF específicamente
diseñado que contenga tanto una hoja de estilo y un elemento superíndice puede provocar
que LibreOffice acceda a un puntero no válido que haga referencia a memoria previamente
utilizada en el heap. Una manipulación cuidadosa del heap podría permitir la ejecución
de código arbitrario. Evidentemente se requiere la interacción del usuario atacado
para abrir el archivo.
Para corregir esta vulnerabilidad
se ha publicado LibreOffice 5.2.0 y 5.1.4 que se encuentran disponibles para su
descarga desde la página oficial:
En
una-al-día hemos hablado en más de una ocasión del kit de exploits Angler, sin
duda uno de los más avanzados para la realización de ataques. En esta ocasión,
las noticias son bastante mejores, Cisco
ha anunciado que les han asestado un duro golpe a su infraestructura
interrumpiendo gran parte de sus actuaciones.
El kit de exploits Angler es uno
de los más extendidos del mercado, relacionado en múltiples ocasiones con
campañas de publicidad maliciosa y ransomware. En los últimos
tiemposaparecía
con frecuenciaen
alguna noticia, por la integración de un nuevo
0-day, por su Domain Shadowing o por alguna campaña de publicidad maliciosa.
Dominaba la escena de las acciones
maliciosas.
En la lucha constante entre
atacantes y defensores, Cisco monitorizaba y actualizaba de forma continua
estos ataques. Talos (@talossecurity),
el equipo de investigadores de Cisco, decidió profundizar en los datos que se
obtenían de Angler y empezó a realizar una serie de descubrimientos
sorprendentes. La batalla había comenzado.
En julio empezaron a recopilar
información sobre el exploit de todas las fuentes posibles. Según describen, en
esas fechas Angler pasó por varias fases de desarrollo. Los atacantes
realizaron cambios en la infraestructura de URLs, así como la inclusión de
varias vulnerabilidades 0-day para Adobe Flash.
La recopilación de información
incluyó datos como dominios, referers, exploits, payloads y alojamientos. Y del
análisis empezaron a surgir tendencias y patrones. Fue especialmente en lo
referente al alojamiento donde encontraron la información más relevante.
Descubrieron que gran parte de la actividad de kit empleaba un único proveedor
de alojamiento: Limestone Networks. Angler había bajado la guardia.
Talos colaboró con Limestone para
recopilar alguna información previamente desconocida sobre Angler. También se
agradece la continua colaboración con OpenDNS que permitió ver en profundidad
la actividad del dominio asociado a los atacantes. Como es habitual de este
tipo de colaboraciones surgen resultados satisfactorios. De esta forma se pudo
obtener información sobre el flujo de datos, su gestión y escala.
Descubrieron que realmente Angler
está construida sobre una configuración de proxy/ servidor. Solo hay un
servidor exploit que se encarga de servir toda la actividad maliciosa a través
de múltiples servidores proxy. La comunicación de los usuarios se realiza con
el servidor proxy. Esto permite a los atacantes cambiarlo rápidamente y de esta
forma proteger el servidor de exploits de ser identificado y descubierto.
Además de la estructura
proxy/servidor hay un servidor de vigilancia que realizaba controles de
actividad, recopilando información sobre los hosts que estaban siendo
explotados y que borraba de forma remota los archivos de registro una vez que
la información había sido extraída. Este servidor de vigilancia fue el que
permitió obtener información sobre el alcance y la escala de la campaña,
incluso ayudó a valorar económicamente las actividades maliciosas.
Los investigadores de Cisco solo
monitorizaron un servidor de vigilancia que controlaba la actividad de 147
servidores proxy y unas 90.000 víctimas por día, generando más de dos millones
y medio de euros en ingresos en un mes. Este simple servidor era el
responsable de aproximadamente la mitad de la actividad de Angler observada,
consiguiendo más de 26 millones de euros al año solo en infecciones con ransomware.
Cierre del acceso para los
usuarios de Cisco mediante la actualización de sus productos para detener el
redireccionamiento a los servidores proxy de Anger.
Publicación de reglas de Snort
para detectar y bloquear los controles de los servidores de vigilancia.
Todas las reglas se han
publicado a través de la comunidad Snort.
Publicación de los mecanismos
de comunicaciones incluyendo los protocolos para que otros administradores y
fabricantes puedan proteger a usuarios y clientes.
Cisco también ha publicado los
IoCs (Indicadores de Compromiso) para que administradores o usuarios puedan
analizar su propia actividad en la red y bloquear el acceso a los servidores
restantes.
Más información:
Threat Spotlight: Cisco Talos Thwarts Access to
Massive International Exploit Kit Generating $60M Annually From Ransomware
Alone
