Especialistas de la firma de seguridad Claroty reportaron la detección de múltiples vulnerabilidades de ejecución de código en diversos productos de red privada virtual (VPN) dependientes de OpenVPN. En total se detectaron 4 fallas en HMS Industrial Networks, MB connect line, PerFact y Siemens, cuya explicación permitiría a los actores de amenazas ejecutar código a través de un sitio web especialmente diseñado.
Los investigadores mencionan que los productos basados en OpenVPN generalmente lo implementan como un servicio con privilegios SYSTEM, lo que representa un severo riesgo de seguridad debido a que cualquier aplicación remota puede controlar una instancia de OpenVPN e iniciar o terminar una conexión segura.
Por lo general, una arquitectura cliente-servidor de VPN implica la presencia de un frontend, un backend y el servicio OpenVPN. Debido a que en la mayoría de los casos el protocolo de texto sin cifrar se usa dentro del canal de socket dedicado a través del cual el frontend controla el backend sin uso de autenticación, cualquier persona con acceso al puerto TCP local en el que escucha el backend podría cargar una configuración de OpenVPN y obligar al backend a generar una nueva instancia de OpenVPN con esta configuración.
Los actores de amenazas tratando de explotar estas fallas solo requerirían engañar al usuario objetivo y hacer que ingrese a un sitio web malicioso con código JavaScript diseñado para enviar solicitudes POST, llevando a la inyección de comandos en el backend del cliente VPN, llevando a un escenario de falsificación de solicitudes del lado del servidor (SSRF).
Según los expertos, cuando la víctima hace clic en el enlace especialmente diseñado, se envía una solicitud HTTP POST al puerto TCP dedicado; dado que HTTP es un protocolo basado en texto sin formato, el servidor backend ignorará todas las líneas hasta alcanzar un comando significativo.
Además, ya que el servidor backend analizará y ejecutará automáticamente cualquier comando válido recibido, se podría forzar la carga de un archivo de configuración remota con comandos específicos que conduzcan a la ejecución de código o la instalación de malware.
La buena noticia es que la explotación exitosa de esta falla requeriría acceso al servidor SMB, por lo que un actor de amenazas tendría que estar en la red afectada o bien tener acceso a una computadora vulnerable configurada para permitir el acceso SMB a servidores externos.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.