Los hackers acceden de forma clandestina a los servidores de Nextcloud a través de una vulnerabilidad crítica en la aplicación CODE integrada de Collabora

Un fallo de se­gu­ri­dad en una apli­ca­ción com­ple­men­ta­ria op­cio­nal de Next­cloud fue apro­ve­cha­do por ata­can­tes para ins­ta­lar "web shells" en ser­vi­do­res afec­ta­dos. El pro­ble­ma re­si­día en la forma en que un script pro­ce­sa­ba las pe­ti­cio­nes cuan­do el ser­vi­dor de do­cu­men­tos local no se en­con­tra­ba en eje­cu­ción, lo que per­mi­tía a usua­rios no au­ten­ti­ca­dos eje­cu­tar co­man­dos me­dian­te una se­cuen­cia ocul­ta en la ruta de la so­li­ci­tud.

Va­rios ad­mi­nis­tra­do­res in­for­ma­ron sobre in­ci­den­tes en sus pla­ta­for­mas, donde se crea­ron pe­que­ños ar­chi­vos ma­li­cio­sos en for­ma­to PHP y se in­ten­tó ex­traer in­for­ma­ción hacia un ser­vi­cio ex­terno, ade­más de bus­car cre­den­cia­les y car­te­ras de crip­to­mo­ne­das. Los re­por­tes in­di­ca­ron que las in­tru­sio­nes ocu­rrie­ron du­ran­te mo­men­tos en que el com­po­nen­te local es­ta­ba apa­ga­do, como re­ini­cios o ac­tua­li­za­cio­nes, y las ad­ver­ten­cias ofi­cia­les re­cal­ca­ron que sim­ple­men­te des­ac­ti­var la he­rra­mien­ta no pre­vie­ne la vul­ne­ra­bi­li­dad.

Para so­lu­cio­nar esta bre­cha, los de­sa­rro­lla­do­res lan­za­ron una ver­sión co­rre­gi­da e in­di­ca­ron que es in­dis­pen­sa­ble ac­tua­li­zar el pa­que­te o des­ins­ta­lar­lo por com­ple­to. Aque­llos que uti­li­cen ver­sio­nes an­ti­guas del sis­te­ma ope­ra­ti­vo prin­ci­pal que no so­por­ten la ac­tua­li­za­ción re­co­men­da­da deben optar por re­mo­ver el com­ple­men­to de in­me­dia­to, re­vi­sar los re­gis­tros de ac­ce­so en busca de pa­tro­nes sos­pe­cho­sos y eli­mi­nar cual­quier ar­chi­vo ex­tra­ño que haya po­di­do ge­ne­rar­se en los di­rec­to­rios del pro­gra­ma.