Код эксплоита был опубликован в сети в конце декабря. Эксплоит представляет собой обход аутентификации с удаленным выполнением кода (Remote Code Execution (RCE) — удаленное выполнение кода — опасная уязвимость, которая позволяет дистанционно запустить вредоносный код в целевой системе по локальной сети или через Интернет. При этом физический доступ к устройству не требуется.
В результате эксплуатации RCE-уязвимости киберпреступник может перехватить управление системой или ее отдельными компонентами, а также украсть конфиденциальные данные.
» data-html=»true» data-original-title=»RCE»>RCE). SugarCRM подтвердила
наличие уязвимости и уже исправила её.
По данным Censys, по состоянию на 11 января было заражено 354 сервера SugarCRM (около 12% от общего числа серверов SugarCRM). Самое большое количество заражений было в США — 90 шт, затем следуют Германия, Австралия и Франция.
В бюллетене SugarCRM говорится, что уязвимость затронула программные решения Sugar Sell, Serve, Enterprise, Professional и Ultimate. Это не повлияло на ПО Sugar Market.
Обход аутентификации работает против каталога «index.php». После обхода аутентификации злоумышленник получает cookie-файл, а вторичный POST-запрос отправляется по пути «/cache/images/sweet.phar», который загружает PNG-файл, содержащий PHP-код, который будет выполняется сервером при повторном запросе файла.
PHP-код декодируется и преобразуется в веб-оболочку, представляющую из себя текстовое окно, которое хакер может использовать в качестве интерфейса для запуска команд на скомпрометированных устройствах.