Caitlin Condon

Existe um bypass de autenticação na API do servidor devido a controle de acesso insuficiente, permitindo que um invasor remoto não autenticado obtenha acesso administrativo ao console e ao portal de convidados. Isso pode levar à execução remota de código (RCE) no TeamCity Server e em seus agentes, permitindo o roubo de código-fonte, segredos de serviço e chaves privadas, ou a injeção de código malicioso em builds de software para facilitar ataques à cadeia de suprimentos. O problema é explorado enviando uma requisição que corresponda ao padrão `/**/RPC2` para o endpoint não documentado `/app/rest/users/id:1/tokens/RPC2` para recuperar o token de autenticação da conta de administrador padrão. A exploração no mundo real foi observada em larga escala por atores patrocinados por estados, incluindo APT 29 (CozyBear/NOBELIUM/Midnight Blizzard), Lazarus Group, Diamond Sleet e Onyx Sleet. Aproximadamente 1.258 instâncias potencialmente afetadas foram identificadas via ZoomEye, com mais de 3.000 servidores relatados como conectados diretamente à internet via Shodan.

Fortra GoAnywhere MFT is susceptible to a pre-authentication command injection due to the deserialization of attacker-controlled objects within the License Response Servlet. The Clop ransomware group actively exploited this issue, identified as CVE-2023-0669, to steal data from over 130 organizations within a ten-day period. The vulnerability allows attackers to execute arbitrary code by sending a POST request to the `/goanywhere/lic/accept` endpoint with a malicious object. The exploitation of this vulnerability has been linked to TA505 and the Clop ransomware group, mirroring tactics used in previous attacks against Accellion FTA in 2021. The vulnerability requires the administrative functions to be exposed over the internet, typically on ports 8000/tcp and 8001/tcp/tls.