O relatório mensal de vulnerabilidades da Redbelt Security revela que julho foi um mês intenso em volume e criticidade de falhas exploradas, com destaque para as plataformas Microsoft, atingidas por uma sequência praticamente ininterrupta de ataques ao SharePoint, e para sistemas amplamente usados por empresas em todo o mundo, como Oracle, Adobe e Citrix.
Grande parte das vulnerabilidades do período foi explorada em questão de horas após a divulgação pública. O mês também registrou o maior Patch Tuesday da história do programa da Microsoft, com mais de 570 correções e três zero-days, dois deles já em exploração ativa.
Ainda de acordo com a Redbelt Security, falhas em servidores de colaboração, appliances de acesso remoto e aplicações de negócio expostas à internet continuam sendo exploradas em prazos cada vez mais curtos após a divulgação pública. Nesse cenário, a capacidade de resposta passa a ser um componente importante da segurança operacional.
Com a aplicação de correções como prioridade, a redução da exposição de interfaces administrativas à internet, a rotação de credenciais e chaves de sistemas comprometidos e o monitoramento contínuo de acessos anômalos. A combinação dessas medidas ajuda as organizações a reduzir a janela de exposição entre a descoberta de uma vulnerabilidade e a adoção das medidas necessárias para mitigar seus riscos.
Quarta falha crítica de Servidores SharePoint em um mês
O SharePoint Server foi o sistema mais visado de julho, com quatro vulnerabilidades distintas exploradas ativamente ao longo do mês. As três primeiras permitiram execução remota de código e elevação de privilégio a partir de desserialização de dados não confiáveis.
Porém, a mais recente foi explorada horas depois da publicação de uma prova de conceito e passou a ser usada para roubar as chaves de máquina (machine keys) dos servidores. Essa técnica permite que os atacantes continuem forjando tokens de autenticação e personificando usuários mesmo depois da aplicação da correção, tornando a rotação de chaves e credenciais uma etapa obrigatória, e não apenas o patch em si.
Falha crítica no Hyper-V
Entre as mais de 570 correções do Patch Tuesday de julho, a mais grave recaiu sobre o Windows Hyper-V. A falha, de pontuação quase máxima na escala CVSS, no Virtual Switch, permite que um atacante autenticado dentro de uma máquina virtual envie requisições de rede manipuladas capazes de comprometer o host físico e as demais cargas hospedadas nele.
Essa reação gera cruzamento da fronteira entre o ambiente virtualizado e a infraestrutura real. Apesar de não haver exploração pública confirmada até o momento, a falha exige atenção prioritária de empresas com ambientes de virtualização críticos, com capacidade de comprometer toda uma infraestrutura a partir de uma única máquina virtual.
Campanha explora Oracle E-Business Suite
uma falha crítica no módulo de pagamentos do Oracle E-Business Suite permite que um atacante execute comandos e leia arquivos com privilégios elevados sem qualquer autenticação, por meio de requisições manipuladas a um endpoint de transmissão de arquivos.
A falha, sob exploração desde o fim de junho, já foi associada a uma campanha de agentes especializados em obter acesso inicial a redes corporativas, com cerca de 950 instâncias expostas publicamente na internet identificadas até o momento.
A Oracle já havia disponibilizado a correção em um pacote de atualizações de maio, reforçando a importância de manter aplicações críticas de ERP sempre atualizadas.
ColdFusion é explorado menos de duas horas após divulgação de falha
uma vulnerabilidade de pontuação máxima na escala CVSS no Adobe ColdFusion permite que um atacante remoto sem autenticação grave arquivos executáveis diretamente no servidor e obtenha execução de código, por meio de uma falha de validação de caminho no serviço de desenvolvimento remoto (RDS) do produto.
A velocidade da exploração, iniciada poucas horas depois de a falha se tornar pública, ilustra o quanto o intervalo entre divulgação e ataque em massa vem encolhendo. A Adobe recomenda atualização imediata para as versões mais recentes do ColdFusion e a desativação do RDS em ambientes que não dependem desse recurso.
Pacote de seis falhas no Citrix NetScaler repete padrão
a Citrix corrigiu seis vulnerabilidades no NetScaler ADC/Gateway, entre elas uma falha explorada em menos de 24 horas após a divulgação. Ela permite leitura fora dos limites de memória quando o appliance atua como provedor de identidade SAML, expondo tokens e segredos de sessão em um padrão semelhante ao caso CitrixBleed, um dos incidentes mais lembrados da história recente do produto.
O pacote inclui ainda uma falha de leitura arbitrária de arquivos sem autenticação e duas vulnerabilidades de negação de serviço, reforçando a recomendação da Citrix para atualização imediata para as versões mais recentes do appliance.
