Une nouvelle vulnérabilité de sécurité grave dans la plate-forme logicielle de gestion des services informatiques ConnectWise a été signalée. La vulnérabilité affecte le gestionnaire de sauvegarde de serveur Recover et R1Soft de l'entreprise (SBM).
La vulnérabilité a été décrite comme "Improper Neutralization of Special Elements in Output Used by a Downstream Component,” et affecte les versions de produit suivantes:
- Récupération ConnectWise: Récupérer v2.9.7 et les versions antérieures sont impactés.
- R1Soft: SBM v6.16.3 et les versions antérieures sont impactées.
La vulnérabilité est associée à un autre problème de contournement d'authentification en amont dans le
Cadre d'application Web Ajax open source ZK, connue sous le nom de CVE-2022-36537, qui a été abordé en mai 2022.
La société de cybersécurité Huntress a créé un exploit de preuve de concept, démontrant ainsi son impact et sa gravité. Si elle est exploitée, la vulnérabilité peut conduire à:
- Ignorer l'authentification;
- Téléchargement d'un pilote de base de données JDBC dérobé pour effectuer exécution de code attaques;
- Utilisation de l'API REST pour déclencher des commandes aux agents enregistrés pour pousser Lockbit 3.0 ransomware à tous les terminaux en aval.
“Nous avons travaillé en étroite collaboration avec ConnectWise pour les informer de ces problèmes et ils ont publié un correctif pour le logiciel Server Backup Manager SE. Huntress a validé son patch et confirme qu'il est efficace contre l'arrêt de notre propre preuve de concept (POC) exploiter,” les chercheurs ont noté.
Comment remédier à la vulnérabilité de ConnectWise?
Les SBM ConnectWise Recover concernés ont été automatiquement mis à jour vers la dernière version de Recover (v2.9.9), la société a noté. Quant à R1Soft, les parties concernées doivent mettre à niveau le gestionnaire de sauvegarde du serveur vers SBM v6.16.4 publié en octobre 28, 2022 en utilisant le wiki de mise à niveau R1Soft.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: