Remote Code Execution in ACME Enterprise Gateway
Vendor
ACME Corp
Prodotto
Enterprise Gateway v4.2
Data
Una vulnerabilità di tipo Remote Code Execution (RCE) nel modulo di autenticazione di ACME Enterprise Gateway consente a un attaccante non autenticato di eseguire codice arbitrario sul server tramite una richiesta HTTP appositamente costruita.
Sommario
Scoperta una vulnerabilità critica nel modulo di autenticazione di ACME Enterprise Gateway v4.2 che consente Remote Code Execution (RCE) senza autenticazione.
Dettagli tecnici
Il parametro auth_token nella richiesta POST a /api/v2/authenticate non viene correttamente sanitizzato prima di essere passato alla funzione interna di deserializzazione. Un attaccante può iniettare payload serializzati arbitrari che vengono eseguiti nel contesto del processo del gateway.
Vettore di attacco
POST /api/v2/authenticate HTTP/1.1
Host: target.example.com
Content-Type: application/json
{
"auth_token": "[REDACTED - payload serializzato malevolo]"
}
Impatto
- Esecuzione di codice arbitrario con i privilegi del servizio gateway
- Accesso completo alla rete interna
- Possibile pivot verso altri sistemi collegati
Timeline di disclosure
| Data | Evento |
|---|---|
| 2025-01-10 | Scoperta della vulnerabilità |
| 2025-01-12 | Notifica al vendor via canale sicuro |
| 2025-01-13 | Conferma ricezione dal vendor |
| 2025-02-01 | Notifica ad ACN / CSIRT Italia |
| 2025-02-28 | Patch rilasciata dal vendor (v4.2.1) |
| 2025-03-15 | Pubblicazione coordinata dell’advisory |
Remediation
Aggiornare ACME Enterprise Gateway alla versione 4.2.1 o successiva. Se l’aggiornamento immediato non è possibile, disabilitare il modulo di autenticazione legacy tramite la configurazione auth.legacy.enabled=false.
Crediti
Scoperta da Marco Sala — disclosure coordinata con il vendor e con ACN / CSIRT Italia.