CVE-2021-41560

OpenCATS permite a un atacante remoto subir un archivo ejecutable a través de lib/FileUtility.php y luego ejecutarlo, produciendo ejecución de código arbitrario en el servidor. Este es el arquetípico file-upload-to-RCE no autenticado: sin inicio de sesión que derrotar, sin usuario que engañar, solo un POST que planta contenido ejecutable que la aplicación felizmente servirá de vuelta y ejecutará. Para una aplicación web que alberga datos de reclutamiento y de candidatos, eso es un compromiso completo del servidor desde el exterior.

Este es exactamente el perfil por el que viven las botnets de rastreo masivo. La ejecución de código no autenticada en una aplicación web de código abierto instalable significa que el tráfico de prueba de concepto tiende a barrer indiscriminadamente cada instalación accesible, buscando el endpoint vulnerable sin importar quién sea dueño del sitio. Una vez que aterriza un web shell, los resultados son los habituales: robo de datos de la base de datos de candidatos, criptominería, spam, o uso como cabeza de playa hacia el entorno de alojamiento. El techo de versión —hasta 0.9.6— es lo único que se interpone entre una instalación expuesta y un shell.

Las aplicaciones autoalojadas como OpenCATS son fáciles de perder de vista, así que nuestro verdadero trabajo es encontrar las instalaciones en la sombra. La pregunta no es leer este aviso, es responder qué instancias de OpenCATS realmente ejecutamos, en qué versión, y cuáles son accesibles desde internet: las herramientas de reclutamiento autoalojadas a menudo son levantadas por un solo equipo y nunca inventariadas centralmente. Esa intersección es la lista de parches corta y urgente; cualquier cosa expuesta y en 0.9.6 o inferior se trata como precomprometida hasta que se verifique.