CVE-2023-40044

O módulo Ad Hoc Transfer do Progress WS_FTP Server desserializa dados .NET fornecidos pelo atacante sem validá-los. Um atacante pré-autenticado envia um objeto serializado forjado a esse módulo e, quando o servidor o reconstrói, uma cadeia de gadgets é disparada e executa comandos do sistema operacional no host. Não há exigência de login, então qualquer um que consiga alcançar a interface web do Ad Hoc Transfer pode transformar uma única requisição em execução de comandos no servidor Windows subjacente.

O WS_FTP é um produto de transferência gerenciada de arquivos, a mesma categoria do MOVEit, o que significa que os dados que ele protege são precisamente o material sensível e regulado que as organizações trocam, e esses servidores são rotineiramente voltados para a internet para permitir que parceiros externos se conectem. Essa combinação, RCE pré-autenticação em um appliance de transferência de arquivos exposto à internet, é exatamente o perfil que os grupos de ransomware e extorsão de dados aprenderam a atacar em escala, e essa falha veio da Progress imediatamente após a campanha do MOVEit, chamando atenção rápida. Aplique o patch para o WS_FTP Server 8.7.4 ou 8.8.2 como prioridade e, dada a rapidez com que o código de prova de conceito circulou, revise o módulo Ad Hoc Transfer e o servidor em busca de sinais de exploração, em vez de tratar a atualização por si só como suficiente.