CVE-2023-47246

Uma falha de path traversal no SysAid On-Premise permite que um atacante não autenticado grave um arquivo em um local fora do diretório de upload pretendido, especificamente na webroot do Tomcat. Uma vez que um payload JSP esteja na webroot, o atacante o requisita e o servidor de aplicação o executa, transformando uma primitiva de gravação de arquivo em execução remota de código no host do SysAid com os privilégios do serviço.

Isso foi explorado ativamente em novembro de 2023 como um zero-day, com a atividade atribuída aos operadores por trás do ecossistema de ransomware Clop, de modo que a exposição a este bug significa que a exploração provavelmente antecede a correção e a caça a ameaças deve acompanhar a aplicação do patch. O SysAid é um software de gestão de serviços de TI que fica em posição central, com amplo alcance sobre os ativos e fluxos administrativos de uma organização, tornando uma instância comprometida um forte ponto de pivô. Atualize para 23.3.36 ou posterior e, então, inspecione a webroot do Tomcat em busca de arquivos JSP ou WAR inesperados, revise o host do SysAid em busca de web shells e processos filhos incomuns e rotacione as credenciais de serviço e administrativas ligadas à implantação antes de considerar o incidente encerrado.