CVE-2026-61500 su Rejetto HFS: cookie admin falsificabili e RCE già in sfruttamento attivo

Una vulnerabilita critica sta colpendo Rejetto HTTP File Server (HFS) e sta gia attirando tentativi di sfruttamento attivo. Il problema, identificato come CVE 2026 61500 con punteggio CVSS 9.3, riguarda una falsificazione di sessione che puo portare fino alla esecuzione di codice da remoto (RCE).

In pratica un attaccante puo ottenere accesso amministrativo senza credenziali valide e prendere il controllo del server.

Il punto debole nasce dal modo in cui alcune versioni di Rejetto HFS generano la chiave usata per firmare i cookie di sessione. Tra la versione 3.0.0 e la 3.2.0 la chiave deriva da Math.random, un generatore pseudo casuale non pensato per scopi crittografici. Inoltre durante la fase di login vengono esposti a client non autenticati alcuni output dello stesso generatore. Raccogliendo un numero limitato di risposte di login, un attaccante puo ricostruire lo stato del PRNG, recuperare la chiave di firma e creare un cookie di sessione amministrativa valido.

Una volta ottenuta una sessione admin, la catena di attacco diventa particolarmente pericolosa perche HFS include una funzione di configurazione chiamata server_code che consente di eseguire JavaScript lato server. Questa combinazione crea un percorso diretto da accesso non autenticato a controllo amministrativo e quindi a RCE, con impatti potenzialmente gravi su riservatezza integrita e disponibilita del sistema.

La correzione ufficiale e stata rilasciata a luglio 2026 con la versione 3.2.1, ma a fine settembre e comparso pubblicamente un proof of concept in Python che ha reso piu semplice e rapido lo sfruttamento. Poco dopo sono stati osservati segnali di ricognizione su host realmente vulnerabili, inclusi tentativi attribuiti a infrastrutture collegate alla Cina e diretti verso sistemi negli Stati Uniti, con probe rilevati anche su distribuzioni canary in Giappone e USA.

Questo episodio arriva dopo un precedente grave su Rejetto HFS, CVE 2024 23692, gia sfruttato in passato per distribuire miner di criptovalute e trojan. Per ridurre il rischio e fondamentale verificare la versione installata, aggiornare immediatamente a 3.2.1 o superiore e limitare lesposizione del servizio su Internet con segmentazione, regole firewall e monitoraggio dei log di autenticazione e delle richieste anomale.