O relatório mensal de vulnerabilidades da Redbelt Security mostra que julho foi marcado por um alto volume de falhas exploradas, com destaque para sistemas da Microsoft e plataformas amplamente utilizadas por empresas, como Oracle, Adobe e Citrix.
O SharePoint Server foi o principal alvo identificado no período, com quatro vulnerabilidades diferentes exploradas ativamente ao longo do mês. As três primeiras permitiam execução remota de código e elevação de privilégios a partir da desserialização de dados não confiáveis.
A quarta vulnerabilidade, divulgada em meados de julho, começou a ser explorada poucas horas depois da publicação de uma prova de conceito. Os ataques permitiram o roubo das chaves de máquina dos servidores, usadas para forjar tokens de autenticação e personificar usuários mesmo após a aplicação da correção.
A situação reforça a necessidade de combinar a instalação dos patches com a rotação de chaves e credenciais, especialmente em sistemas que já tenham sido comprometidos.
Hyper-V entra na lista de falhas críticas
O Patch Tuesday de julho da Microsoft registrou mais de 570 correções e três zero-days, dois deles já em exploração ativa. Entre as vulnerabilidades corrigidas, uma das mais graves afetou o Windows Hyper-V.
A falha está no Virtual Switch e pode permitir que um atacante autenticado dentro de uma máquina virtual envie requisições de rede manipuladas para comprometer o host físico e outras cargas hospedadas nele. O problema cria uma possibilidade de ultrapassar a separação entre o ambiente virtualizado e a infraestrutura física.
Não havia exploração pública confirmada para a vulnerabilidade até o momento indicado no relatório. Ainda assim, o risco é relevante para empresas que dependem de ambientes de virtualização críticos, já que um comprometimento pode partir de uma única máquina virtual.
Oracle e Adobe também são alvos
Uma vulnerabilidade crítica no Oracle E-Business Suite permite que um atacante execute comandos e leia arquivos com privilégios elevados sem autenticação. O ataque ocorre por meio de requisições manipuladas direcionadas a um endpoint de transmissão de arquivos.
A falha está sob exploração desde o fim de junho e foi associada a uma campanha de agentes especializados em obter acesso inicial a redes corporativas. Cerca de 950 instâncias expostas publicamente na internet foram identificadas até o momento.
A Oracle já havia disponibilizado a correção em um pacote de atualizações de maio, reforçando a importância de manter aplicações críticas de ERP atualizadas.
No Adobe ColdFusion, uma vulnerabilidade com pontuação máxima na escala CVSS permite que um atacante remoto não autenticado grave arquivos executáveis diretamente no servidor e obtenha execução de código.
O problema está relacionado a uma falha de validação de caminho no serviço de desenvolvimento remoto, conhecido como RDS. A exploração começou menos de duas horas após a divulgação da vulnerabilidade, mostrando a velocidade com que falhas recém-publicadas podem ser incorporadas a ataques.
A Adobe recomenda a atualização para as versões mais recentes do ColdFusion e a desativação do RDS em ambientes que não dependem desse recurso.
Citrix NetScaler tem seis vulnerabilidades corrigidas
A Citrix corrigiu seis vulnerabilidades no NetScaler ADC/Gateway, incluindo uma falha explorada em menos de 24 horas após sua divulgação.
O problema permite leitura fora dos limites de memória quando o appliance atua como provedor de identidade SAML, com possibilidade de exposição de tokens e segredos de sessão. O relatório aponta semelhanças com o padrão observado no caso CitrixBleed.
O pacote de correções inclui ainda uma vulnerabilidade de leitura arbitrária de arquivos sem autenticação e duas falhas de negação de serviço. A recomendação é atualizar o appliance para as versões mais recentes.
Segundo a Redbelt Security, servidores de colaboração, appliances de acesso remoto e aplicações de negócio expostas à internet continuam sendo explorados em intervalos cada vez menores após a divulgação pública das vulnerabilidades.
A aplicação de correções deve ser acompanhada pela redução da exposição de interfaces administrativas à internet, pela rotação de credenciais e chaves de sistemas comprometidos e pelo monitoramento contínuo de acessos anômalos. A combinação dessas medidas reduz a janela entre a descoberta de uma vulnerabilidade e a adoção das ações necessárias para mitigar os riscos.
