Fallo crítico en la aplicación CODE de Nextcloud explotado para instalar puertas traseras en servidores
Los atacantes están aprovechando una vulnerabilidad en la aplicación CODE integrada de Collabora para desplegar web shells en servidores Nextcloud. Los administradores deben aplicar el parche de inmediato para evitar accesos no autorizados.
Resumen
- Los hackers explotaron una falla en la aplicación CODE opcional de Nextcloud.
- Se implantaron web shells en los servidores para mantener acceso persistente.
- Los primeros ataques fueron reportados el 10 de septiembre por usuarios de GitHub.
- La vulnerabilidad afecta a organizaciones que usan el servidor CODE integrado.
- Se recomienda aplicar el parche de inmediato y monitorear la actividad de web shells.
Investigadores de seguridad han identificado la explotación activa de una vulnerabilidad crítica en la aplicación Collabora Online - Built-in CODE Server para Nextcloud. Este componente opcional ha sido objetivo de atacantes para desplegar web shells, lo que permite la ejecución remota de comandos con los privilegios del servidor web.
Múltiples administradores reportaron actividad sospechosa a partir del 10 de septiembre, lo que llevó al descubrimiento de archivos no autorizados en sus instancias de Nextcloud. Se recomienda a las organizaciones que utilicen la aplicación afectada tomar medidas inmediatas para evaluar y subsanar posibles compromisos.
Detalles de la vulnerabilidad
- La falla reside en la aplicación Collabora Online - Built-in CODE Server, un complemento opcional para implementaciones de Nextcloud.
- Los atacantes utilizaron la vulnerabilidad para cargar y ejecutar web shells, obteniendo acceso persistente a los servidores afectados.
- Las web shells permiten la ejecución completa de comandos remotos bajo el contexto de la cuenta del servidor web.
- La naturaleza integrada del servidor CODE incrementa su superficie de ataque dentro de configuraciones predeterminadas.
Impacto y recomendaciones
- Las organizaciones que ejecutan Nextcloud con la aplicación Collabora CODE deben auditar sus sistemas en busca de archivos PHP desconocidos.
- Se insta a los administradores a actualizar de inmediato a la última versión parcheada de la aplicación.
- Los indicadores de compromiso incluyen tráfico de red inesperado y archivos desconocidos en directorios accesibles desde la web.
- Se recomienda encarecidamente la monitorización proactiva de actividades posteriores a la explotación, como movimientos laterales.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.