Fortra esperó seis semanas para emitir un aviso sobre la vulnerabilidad crítica de GoAnywhere
Al momento de escribir este artículo, no está claro por qué el proveedor de seguridad parchó una falla grave en su plataforma de transferencia de archivos a principios de diciembre, pero no ha emitido una declaración durante más de un mes.
Fortra, el fabricante de GoAnywhere, parchó una vulnerabilidad crítica en la plataforma de transferencia de archivos ampliamente utilizada a principios de diciembre, pero parece haber retrasado la divulgación pública del problema durante más de seis semanas y solo publicó una declaración sobre la falla el lunes.
La medida ha generado dudas sobre por qué se retrasó la divulgación pública, especialmente teniendo en cuenta el hecho de que una vulnerabilidad anterior en la herramienta de transferencia administrada de archivos (MFT) GoAnywhere fue explotada por actores de amenazas en una serie de ataques de extorsión de datos de alto perfil. . atrás.
[Related: 10 Major Cyberattacks And Data Breaches In 2023]
«Evidentemente, Fortra abordó esta vulnerabilidad en un lanzamiento de GoAnywhere MFT el 7 de diciembre de 2023, pero parece que no han emitido un aviso hasta ahora», dijo Caitlin Condon, directora de investigación e inteligencia de vulnerabilidades de Rapid7, en una publicación en un blog el martes. .
Al momento de escribir este artículo, no está claro por qué el público consultivo Fue pospuesto. CRN se puso en contacto con Fortra para preguntar el motivo del retraso en la publicación pública de la declaración.
Las organizaciones dependen de los avisos de seguridad para ayudar a priorizar sus esfuerzos de remediación, dada la enorme cantidad de vulnerabilidades de software que necesitan remediación continuamente.
La forma en que los proveedores abordan y comunican las vulnerabilidades «siempre es importante», dijo Condon en un correo electrónico a CRN el martes.
«Esperamos que la adopción del parche haya comenzado en diciembre y se acelere ahora que un aviso está ampliamente disponible», escribió Condon.
Un representante de Fortra le dijo a CRN que la empresa envió un correo electrónico a los clientes el 4 de diciembre de 2023, alertándoles sobre la existencia de la vulnerabilidad. «Se encontró una vulnerabilidad crítica que requiere acción para remediarla en el software GoAnywhere MFT de Fortra», dijo Fortra en el correo electrónico a los clientes, según el texto del mensaje proporcionado a CRN. El correo electrónico a los clientes no parece proporcionar más detalles sobre la vulnerabilidad.
Se recomienda una 'acción de emergencia'
La vulnerabilidad GoAnywhere (seguida en CVE-2024-0204) podría permitir a un atacante eludir la autenticación y se le ha otorgado una puntuación de gravedad de 9,8 sobre 10,0. La vulnerabilidad es «explotable de forma remota y permite que un usuario no autorizado cree un usuario administrador a través del portal de administración», dijo Condon en el blog.
Además del retraso en la publicación del aviso, Fortra tampoco dejó claro en el comunicado del lunes si los atacantes explotaron activamente la vulnerabilidad, otra información importante que las organizaciones buscan al determinar si priorizar un parche. En un comunicado por correo electrónico a CRN, Fortra dijo que «no hay informes de explotación activa en relación con este CVE».
De cualquier manera, «esperamos que la vulnerabilidad se solucione rápidamente si aún no se ha solucionado, especialmente porque la solución ha estado disponible para ingeniería inversa durante más de un mes», escribió Condon en la publicación del blog Rapid7 del martes. «Rapid7 recomienda encarecidamente a los clientes de GoAnywhere MFT que tomen medidas de emergencia».
Ataques anteriores
En febrero de 2023, Fortra informó a los clientes que había identificado una vulnerabilidad de día cero explotada activamente en GoAnywhere que podría usarse para ejecutar código de forma remota en sistemas vulnerables.
El incidente más grande de la campaña GoAnywhere, el ataque a la empresa de tecnología y beneficios de salud NationsBenefits, afectó a 3 millones de miembros, según el Centro de recursos contra el robo de identidad.
La plataforma GoAnywhere también ha sido explotada por piratas informáticos para robar datos de muchas otras grandes organizaciones, incluidas Procter & Gamble, la ciudad de Toronto, Crown Resorts y la empresa de seguridad de datos Rubrik.
Meses después, en 2023, el grupo de habla rusa detrás de los ataques de GoAnywhere, Clop, lanzó una campaña de ataque masivo explotando otra herramienta de transferencia de archivos, MOVEit. El número de organizaciones afectadas por la campaña MOVEit ha superado las 2.700, con más de 94 millones de personas afectadas, según un cálculo de la empresa de ciberseguridad Emsisoft.
