Хакери ја злоупотребуваат ранливоста во ArrayOS AG VPN за да поставуваат webshell скрипти

Заканувачки актери злоупотребуваат ранливост за инјектирање команди во VPN уредите Array AG Series за да постават webshell-и и да креираат лажни корисници.

Array Networks ја поправи ранливоста со безбедносна надградба во мај, но сè уште нема доделено идентификатор, што го отежнува следењето на пропустот и управувањето со закрпи.

Советодавно предупредување од Јапонскиот Компјутерски Тим за Вонредни Ситуации (CERT) наведува дека хакерите ја користат ранливоста најмалку од август во напади насочени кон организации во земјата.

Агенцијата известува дека нападите потекнуваат од IP адресата 194.233.100[.]138, која се користи и за комуникација.

„Во инцидентите потврдени од JPCERT/CC, беше извршена команда што се обидувала да постави PHP webshell датотека на патеката /ca/aproxy/webapp/,“ стои во соопштението (машински превод).

Ранливоста влијае на ArrayOS AG 9.4.5.8 и постари верзии, вклучувајќи AG Series хардвер и виртуелни уреди со овозможена ‘DesktopDirect’ функција за далечински пристап.

JPCERT наведува дека Array OS верзија 9.4.5.9 го решава проблемот и обезбедува следниве привремени решенија доколку ажурирањето не е можно:

• Ако функцијата DesktopDirect не се користи, оневозможете ги сите DesktopDirect сервиси
• Користете URL филтрирање за да блокирате пристап до URL адреси што содржат запирка (semicolon)

Array Networks AG Series претставува линија на безбедни gateways за пристап кои се потпираат на SSL VPN за да создадат криптирани тунели за безбеден далечински пристап до корпоративни мрежи, апликации, десктопи и cloud ресурси.

Обично ги користат големи организации и компании кои треба да овозможат далечинска или мобилна работа.

Истражувачот за безбедност од Macnica, Јутака Сеџијама, објави на X дека неговите скени пронашле 1.831 инстанци на ArrayAG низ светот, главно во Кина, Јапонија и САД.

Истражувачот потврди дека најмалку 11 хостови ја имаат вклучено DesktopDirect функцијата, но предупреди дека веројатноста да има многу повеќе активни хостови со DesktopDirect е значителна.

„Бидејќи корисничката база на овој производ е концентрирана во Азија и поголемиот дел од набљудуваните напади се во Јапонија, давателите на безбедносни услуги и безбедносните организации надвор од Јапонија не обрнуваат големо внимание,“ изјави Сеџијама за BleepingComputer.

BleepingComputer контактираше со Array Networks за да праша дали планираат да објават CVE-ID и официјално соопштение за активно експлоатираната ранливост, но одговор не беше достапен до време на објавата.

Минатата година, CISA предупреди за активна експлоатација насочена кон CVE-2023-28461, критична ранливост за извршување на далечински код (RCE) во Array Networks AG и vxAG ArrayOS.

Извори:

• Bleeping Computer– Hackers are exploiting ArrayOS AG VPN flaw to plant webshells Bleeping Computer