Americká agentura pro kybernetickou a infrastrukturní bezpečnost (CISA) zařadila do svého katalogu známých zneužívaných zranitelností (KEV) kritickou chybu umožňující vzdálené spuštění kódu, která se týká podnikového softwaru PTC Windchill PDMlink a PTC FlexPLM určeného pro správu produktových dat (PDM) a řízení životního cyklu produktů (PLM). Důvodem zařazení jsou důkazy o aktivním zneužívání.
Konkrétně jde o zranitelnost CVE-2026-12569 s hodnocením CVSS 9,3, která spočívá v nesprávné validaci vstupu. Útočník díky ní může pomocí škodlivého síťového požadavku spustit na cílovém systému libovolný kód. Podle bezpečnostního upozornění od společnosti PTC se jedná o chybu typu vzdáleného spuštění kódu, kterou lze zneužít prostřednictvím deserializace nedůvěryhodných dat.
Útoky pokračují i po vydání záplat
Přestože byly opravy chyby zveřejněny už minulý týden, společnost PTC k 25. červnu potvrdila, že nadále dostává hlášení o zvýšené aktivitě hrozeb. Podle firmy neznámí útočníci zranitelnost zneužívají k nasazování JSP webshellů na napadnutelné systémy. PTC zveřejnila i řadu indikátorů kompromitace spojených s touto aktivitou, mezi nimi adresu pro řízení a kontrolu útoku 5.180.41.35 a soubory webshellů se vzorem pojmenování /Windchill/login/[0-9a-f]{16}.jsp.
Jako opatření firma uživatelům doporučuje okamžitě zablokovat adresu 5.180.41.35 na obvodovém firewallu, prohledat protokoly HTTP přístupů na požadavky POST mířící na /Windchill/login/*.jsp, prozkoumat souborový systém na přítomnost JSP souborů odpovídajících šestnáctimístnému hexadecimálnímu vzoru a ověřit hash podezřelých souborů. Dále se radí kontrolovat přítomnost souboru flst.txt v adresáři /tmp nebo v pracovním adresáři Windchill, jehož výskyt potvrzuje aktivitu útočníka spočívající ve výpisu souborů, přidat pravidlo WAF/IDS blokující požadavky obsahující hlavičku X-windchill-req: a tam, kde je to provozně možné, omezit vystavení přihlašovacího bodu Windchill do internetu.
Tímto krokem se zranitelnost stala vůbec první chybou v produktu PTC zařazenou do katalogu KEV agentury CISA. Případ zároveň ukazuje, jak rychle dokáží aktéři hrozeb využít nově odhalené zranitelnosti ve svůj prospěch.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
