CVE-2023-40044

El módulo Ad Hoc Transfer de Progress WS_FTP Server deserializa datos .NET suministrados por el atacante sin validarlos. Un atacante previo a la autenticación envía un objeto serializado manipulado a ese módulo y, cuando el servidor lo reconstruye, se dispara una cadena de gadgets que ejecuta comandos del sistema operativo en el host. No hay requisito de inicio de sesión, así que cualquiera que pueda alcanzar la interfaz web de Ad Hoc Transfer puede convertir una sola solicitud en ejecución de comandos en el servidor Windows subyacente.

WS_FTP es un producto de transferencia gestionada de archivos, la misma categoría que MOVEit, lo que significa que los datos que resguarda son precisamente el material sensible y regulado que las organizaciones intercambian, y estos servidores suelen estar expuestos a Internet para permitir la conexión de socios externos. Esa combinación —RCE previo a la autenticación en un appliance de transferencia de archivos expuesto a Internet— es exactamente el perfil que los grupos de ransomware y de extorsión de datos han aprendido a atacar a gran escala, y esta falla llegó de Progress inmediatamente después de la campaña de MOVEit, atrayendo rápida atención. Parchea a WS_FTP Server 8.7.4 o 8.8.2 como prioridad y, dada la rapidez con que circuló el código de prueba de concepto, revisa el módulo Ad Hoc Transfer y el servidor en busca de señales de explotación en lugar de tratar la actualización por sí sola como suficiente.