26/10/2022   

BOLETÍN NRO 2022-624

A la vulnerabilidad, rastreada como CVE-2022-42889, también conocida como Text4Shell , se le ha asignado una clasificación de gravedad de 9,8 de un posible 10,0 en la escala CVSS y afecta a las versiones 1.5 a 1.9 de la biblioteca.

También es similar a la ahora infame vulnerabilidad Log4Shell en el sentido de que el problema radica en la forma en que las sustituciones de cadenas realizadas durante las búsquedas de DNS, secuencias de comandos y URL podrían conducir a la ejecución de código arbitrario en sistemas susceptibles al pasar una entrada que no es de confianza.

"El atacante puede enviar un payload manipulado de forma remota utilizando búsquedas de 'script', 'dns' y 'url' para lograr la ejecución remota de código arbitrario", explican los investigadores de seguridad.

Una explotación exitosa de la falla puede permitir que un actor de amenazas abra una conexión de shell inversa con la aplicación vulnerable simplemente a través de un payload especialmente diseñado, abriendo efectivamente la puerta para ataques de seguimiento. También se identificó que Text4Shell está siendo explotado por diferentes actores asociados a malware, como ransomware y troyanos.

Si bien el problema se informó originalmente a principios de marzo de 2022, Apache Software Foundation (ASF) lanzó una versión actualizada del software (1.10.0) el 24 de septiembre, y luego emitió un aviso la semana pasada, el 13 de octubre.

"Afortunadamente, no todos los usuarios de esta biblioteca se verían afectados por esta vulnerabilidad, a diferencia de Log4j en la vulnerabilidad Log4Shell, que era vulnerable incluso en sus casos de uso más básicos", dijo Yaniv Nizry, investigador de Checkmarx.

Indicadores de Compromiso

IP

80[.]152[.]226[.]29

66[.]94[.]113[.]40

66[.]94[.]110[.]66

66[.]94[.]110[.]65

62[.]171[.]165[.]202

38[.]242[.]242[.]52

38[.]242[.]147[.]244

37[.]120[.]189[.]196

209[.]126[.]10[.]16

207[.]180[.]241[.]85

207[.]154[.]234[.]251

194[.]163[.]185[.]138

181[.]215[.]176[.]86

161[.]97[.]74[.]59

161[.]97[.]132[.]171

161[.]97[.]122[.]174

159[.]180[.]168[.]61

159[.]180[.]168[.]60

144[.]126[.]131[.]64

103[.]127[.]158[.]166

199[.]16[.]53[.]138

103[.]162[.]75[.]6

Dominio

tress[.]cf

oast[.]site

oast[.]pro

oast[.]online

oast[.]live

ligame[.]xyz

dnslog[.]cn

canarytokens[.]com

acpk[.]xyz