CVE-2022-26871

O Trend Micro Apex Central, o console de gerenciamento da suíte de proteção de endpoints da empresa, expõe um handler de upload de arquivos que não valida adequadamente o que aceita. Um atacante remoto não autenticado pode enviar um arquivo arbitrário ao servidor e, como o upload pode depositar conteúdo executável em um local que a aplicação irá executar, isso se converte diretamente em execução remota de código no host de gerenciamento. Sem credenciais, sem interação do usuário, apenas uma requisição forjada ao endpoint exposto.

A ironia e o perigo aqui estão no alvo: o Apex Central é o cérebro central que administra os agentes de segurança em toda a frota de uma organização, então comprometê-lo entrega ao atacante um ponto de observação confiável e de alto privilégio sobre a própria ferramenta destinada a defender o ambiente. Consoles de gerenciamento como este são frequentemente alcançáveis a partir de amplas redes internas e, às vezes, expostos externamente para administração remota. Aplique a correção para a build corrigida do Apex Central sem demora, restrinja o acesso ao console a um pequeno conjunto de hosts administrativos e revise os diretórios de upload e os logs web em busca de arquivos inesperados, já que um RCE não autenticado em um servidor de gerenciamento de segurança é o tipo de ponto de apoio usado para desativar a proteção em todo o resto.