CVE-2022-26871

Trend Micro Apex Central, la consola de administración de la suite de protección de endpoints de la empresa, expone un manejador de carga de archivos que no valida correctamente lo que acepta. Un atacante remoto no autenticado puede subir un archivo arbitrario al servidor y, dado que la carga puede depositar contenido ejecutable en una ubicación que la aplicación ejecutará, eso se traduce directamente en una ejecución remota de código en el host de administración. Sin credenciales, sin interacción del usuario, solo una solicitud manipulada al endpoint expuesto.

La ironía y el peligro aquí residen en el objetivo: Apex Central es el cerebro central que administra los agentes de seguridad en toda la flota de una organización, por lo que comprometerlo le entrega al atacante un punto de observación confiable y de altos privilegios sobre las mismas herramientas destinadas a defender el entorno. Las consolas de administración como esta suelen ser alcanzables desde amplias redes internas y, a veces, expuestas externamente para la administración remota. Parchee a la versión corregida de Apex Central sin demora, restrinja el acceso a la consola a un pequeño conjunto de hosts administrativos y revise los directorios de carga y los registros web en busca de archivos inesperados, ya que una RCE no autenticada en un servidor de administración de seguridad es el tipo de punto de apoyo que se usa para desactivar la protección en todo lo demás.