Modifica della Configurazione non Autenticata in ProjectSend

Gli attori delle minacce stanno sfruttando attivamente CVE-2024-11680, una vulnerabilità critica in ProjectSend, un’applicazione open-source per la condivisione di file basata su PHP. Exploit pubblici e un diffuso disinteresse per l’applicazione delle patch hanno esposto migliaia di server al rischio di compromissione. Dei circa 4.000 server ProjectSend accessibili pubblicamente, una percentuale impressionante del 99% rimane non aggiornata, consentendo agli aggressori di installare webshell, manipolare configurazioni e ottenere accesso non autorizzato.

Riassunto tecnico

CVE-2024-11680, classificata con 9.8 CVSS, consente ad attaccanti remoti e non autenticati di sfruttare controlli di autorizzazione inadeguati nell’endpoint options.php. Questa vulnerabilità permette operazioni privilegiate come:

• Creazione di account utente falsi.
• Attivazione della registrazione utente non autorizzata e validazione automatica.
• Modifica delle impostazioni di configurazione.
• Caricamento di webshell dannose o incorporamento di JavaScript per ulteriori exploit.

La vulnerabilità è stata divulgata da Synacktiv all’inizio del 2023 e interessa le versioni da r1605 ad almeno r1270. Nonostante il rilascio della versione r1720 di ProjectSend nel maggio 2023, che corregge la falla.

Lo sfruttamento ha iniziato ad aumentare in maniera significativa a partire da settembre 2024, con attaccanti che utilizzano script pubblici di Metasploit e Nuclei per:

• Abilitare la registrazione utenti, ottenendo accesso dopo l’autenticazione.
• Distribuire webshell per garantire persistenza e svolgere attività dannose.

Data la scarsissima adozione della patch, si prevede un rapido incremento degli attacchi.

Raccomandazioni

1. Applicare immediatamente la patch:

   • Aggiornare tutte le istanze alla versione r1720 di ProjectSend o successiva per mitigare la vulnerabilità.

2. Limitare l’accesso:

   • Applicare controlli di accesso, limitando l’esposizione dei server a reti fidate.
   • Distribuire Web Application Firewall (WAF) per filtrare richieste malevole verso options.php.