Zero-day pre-auth RCE su gateway SSL-VPN: heap overflow nel parser HTTP, sfruttamento di massa in corso

Il difetto risiede nella routine che effettua il parsing degli header HTTP nel componente del portale SSL-VPN esposto su Internet. Un campo di lunghezza non validato durante la ricostruzione di una richiesta multipart consente la scrittura oltre il buffer allocato sull'heap, raggiungibile prima di qualsiasi autenticazione. L'esito è l'esecuzione di codice con i privilegi del processo del web server dell'appliance.

La catena osservata in libertà segue lo schema classico dello sfruttamento di massa dei dispositivi di confine: scansione di Internet alla ricerca dell'endpoint vulnerabile, invio della richiesta malformata, e — in caso di successo — impianto di una web shell persistente nella cartella dei template del portale per mantenere l'accesso anche dopo il riavvio.

Mappatura MITRE ATT&CK

Le tecniche osservate nella fase post-sfruttamento:

Il dispositivo che dovrebbe proteggere il perimetro è diventato il punto d'ingresso: è la costante dello sfruttamento edge del 2026.

Versioni affette e fix

Secondo l'avviso del fornitore, sono interessate le release del ramo del portale precedenti alla build correttiva. La mitigazione definitiva è l'aggiornamento; dove non applicabile nell'immediato, va limitata l'esposizione dell'interfaccia di amministrazione e del portale.

Verifica dell'esposizione

Prima del patching conviene accertare se l'endpoint è raggiungibile dall'esterno e controllare i log per richieste anomale verso il percorso del portale. Comando di sola verifica (lato difensore, sul proprio perimetro):

# Verifica che il portale non risponda da Internet (atteso: nessuna risposta)
curl -s -o /dev/null -w "%{http_code}\n" https://<gateway>/remote/login

# Caccia a web shell nei template del portale (indicatore post-exploit)
grep -RniE "eval\(|system\(|base64_decode" /var/portal/templates/ 2>/dev/null

Detection (regola Sigma)

Regola concettuale per i proxy/WAF davanti al gateway: richieste POST verso l'endpoint del portale con header di lunghezza anomala o Content-Length incoerente.

title: SSL-VPN Portal Anomalous Pre-Auth POST
logsource: { category: webserver }
detection:
  sel:
    cs-uri-stem|contains: '/remote/'
    cs-method: 'POST'
    sc-status: 500
  filter:
    c-authenticated: true
  condition: sel and not filter
level: high

Perché conta

Finestra stretta. Tra pubblicazione del fix e sfruttamento di massa passano ore, non giorni: una falla pre-auth su un'appliance esposta è il bersaglio ideale per attori opportunistici e statali insieme. La priorità è patchare o isolare l'interfaccia, poi dare la caccia a eventuali web shell già impiantate — l'aggiornamento non rimuove un accesso già ottenuto.