Urgente: Vulnerabilidade no Telerik Report Server permite ataque de execução de código remoto

A comunidade de tecnologia da informação está alerta após a identificação de uma vulnerabilidade de alta gravidade no Telerik Report Server, um produto amplamente utilizado para relatórios empresariais. A falha descoberta apresenta sérios riscos de segurança e possibilita a execução de código de maneira remota por atacantes.
Designada como CVE-2024-6327 e com uma pontuação de criticidade CVSS de 9,9, a vulnerabilidade afeta particularmente a versão 2024 Q2 (10.1.24.514) e versões anteriores do Report Server.
De acordo com o comunicado da Progress Software, produtora do Telerik Report Server, o risco envolve uma “vulnerabilidade de desserialização insegura” nas edições do software lançadas antes do segundo trimestre de 2024. Essa categoria de falha emerge quando um ataque se aproveita da reconstrução de dados maliciosos, o que pode levar à execução de ordens não autorizadas pelo sistema.
A solução para o problema foi implementada na versão 10.1.24.709 do Report Server. Entretanto, antes da aplicação deste update, a empresa sugere como contingência que se altere o perfil do usuário responsável pela execução do Report Server Application Pool para um com permissões mais restritas, visando uma diminuição potencial de danos.
Para verificar a exposição ao risco, administradores de sistemas devem ingressar na interface web do Telerik Report Server com uma conta admin, acessar a página de configurações (~/Configuration/Index) e conferir o número da versão na aba Sobre.
Esse problema é divulgado pouco depois de outra grande falha ser encontrada e sanada no mesmo produto – identificada como CVE-2024-4358 com pontuação CVSS de 9,8 –, que permitia a terceiros bypassar sistemas de autenticação e inserir usuários administrativos mal-intencionados.
O TecMania reforça a importância da atualização contínua de sistemas e do acompanhamento de reportes de vulnerabilidades, de modo a proteger infraestruturas críticas e dados sensíveis contra ameaças cibernéticas em constante evolução.
Siga nossos canais para mais noticias e esteja sempre a par das últimas informações de segurança da informação.