Progress corrige vulnerabilidad zero-day que causó cierre de ShareFile Storage Zone
Progress confirma una falla zero-day en ShareFile Storage Zone Controller que llevó a un cierre de emergencia y lanza parches para proteger datos empresariales.
Progress Software confirmó una vulnerabilidad zero-day de alta gravedad en su producto ShareFile Storage Zone Controller, que provocó el cierre de emergencia de estos servidores la semana pasada. La falla permitía a usuarios administrativos autenticados acceder y modificar archivos arbitrarios, lo que llevó a la suspensión temporal del servicio para proteger la información de los clientes.
Por qué importa: Esta vulnerabilidad afectaba versiones críticas del controlador que almacenan datos empresariales, poniendo en riesgo la integridad y confidencialidad de archivos gestionados en entornos híbridos.
Lo esencial
La vulnerabilidad afecta a todas las versiones 5.x y 6.x de ShareFile Storage Zone Controller.
Progress lanzó actualizaciones 5.12.5 y 6.0.2 para corregir la falla y recomienda instalarlas de inmediato.
No hay indicios de accesos no autorizados ni de que clientes hayan sido comprometidos.
Imagen de referencia: BleepingComputer.
Detalles técnicos de la vulnerabilidad
La falla es un path traversal que permite a un usuario administrativo autenticado leer archivos arbitrarios accesibles para la cuenta de servicio de la aplicación. Además, puede escribir contenido controlado por un atacante en directorios arbitrarios y enumerar la estructura del sistema de archivos del servidor. Esto abre la puerta a manipulaciones maliciosas y potencial robo o alteración de datos.
Impacto en clientes y respuesta de Progress
Los Storage Zone Controllers son servidores Windows gestionados por los clientes para mantener archivos localmente, mientras ShareFile gestiona autenticación y colaboración en la nube. Debido a la naturaleza crítica de estos servidores, Progress recomendó apagar inmediatamente los Storage Zone Controllers tras detectar una amenaza externa creíble. La empresa deshabilitó temporalmente el acceso a todas las cuentas que usan este sistema para investigar junto a expertos en ciberseguridad.
Actualizaciones y próximos pasos
Progress ha reservado un identificador CVE para esta vulnerabilidad, que será publicado en dos semanas. Mientras tanto, lanzó las versiones 5.12.5 y 6.0.2 del controlador con el parche correspondiente. Los clientes deben aplicar estas actualizaciones para reactivar sus Storage Zone Controllers de forma segura. La compañía asegura que no hay evidencia de ataques activos ni accesos indebidos a datos de clientes.
Preguntas frecuentes sobre ShareFile Storage Zone Controller
¿Qué es un Storage Zone Controller?
Es un servidor Windows gestionado por el cliente que almacena archivos localmente mientras ShareFile maneja autenticación y permisos en la nube.
¿Por qué se retrasó la publicación del CVE?
Progress indicó que el CVE se publicará en dos semanas, probablemente para coordinar la divulgación responsable y permitir que los clientes actualicen sus sistemas.
