I difetti critici di Apache Guacamole mettono i desktop remoti a rischio di hacking

2 Luglio 2020 - Tempo di lettura: 14 minuti

Una nuova ricerca ha scoperto molteplici vulnerabilità critiche RDP inverse in Apache Guacamole, una popolare applicazione desktop remoto utilizzata dagli amministratori di sistema per accedere e gestire le macchine Windows e Linux in remoto. 

I difetti segnalati potrebbero potenzialmente consentire a utenti malintenzionati di ottenere il pieno controllo del server Guacamole, intercettare e controllare tutte le altre sessioni connesse. 

Secondo un rapporto pubblicato da Check Point Research, i difetti concedono

"un hacker, che ha già compromesso con successo un computer all'interno dell'organizzazione, per lanciare un attacco sul gateway Guacamole quando un operatore ignaro tenta di connettersi a una macchina infetta".

Dopo che la società di sicurezza informatica ha comunicato in modo responsabile le sue scoperte ad Apache, che sono i manutentori di Guacamole il 31 marzo, la società ha rilasciato una versione rattoppata nel giugno 2020.

Apache Guacamole è una popolare soluzione di gateway desktop remoto clientless open source. Se installato sul server di un'azienda, consente agli utenti di connettersi in remoto ai propri desktop semplicemente utilizzando un browser Web e inserendo un processo di autenticazione. 

In particolare, l'applicazione desktop remoto Apache Guacamole ha accumulato oltre 10 milioni di download fino ad oggi su Docker Hub.

Errore di danneggiamento della memoria in RCE

Gli attacchi derivano da uno dei due possibili modi in cui il gateway può essere rilevato: da una macchina compromessa all'interno della rete aziendale che sfrutta una connessione benigna in arrivo per attaccare il gateway Apache o un impiegato canaglia che utilizza un computer all'interno della rete per dirottare il gateway. 

Il team di Check Point ha affermato di aver identificato i difetti come parte del recente audit di sicurezza di Guacamole, che ha anche aggiunto il supporto per FreeRDP 2.0.0 verso la fine di gennaio 2020. 

Vale la pena sottolineare che FreeRDP, un client RDP open source, ha avuto la sua fiera quota di difetti nell'esecuzione di codice in modalità remota, che sono stati resi noti all'inizio dello scorso anno dopo il rilascio di 2.0.0-rc4.