Los investigadores de seguridad cibernética han descubierto una falla de seguridad crítica en Sesive Unified PAM que permite a los atacantes pasar por completo los mecanismos de autenticación y obtener acceso no autorizado a credenciales y funciones del sistema.
La vulnerabilidad, designada como CVE-2025-53118 con una puntuación CVSS de 9.4, representa uno de los cuatro problemas de seguridad graves descubiertos en la solución de gestión de acceso privilegiado que podría permitir un compromiso completo del sistema.
La autenticación evita la vulnerabilidad explota una falla fundamental en cómo Securden Unified PAM maneja la gestión de la sesión.
Los atacantes pueden navegar hasta el punto final /Tercer Access para recibir automáticamente una cookie de SecureDensession, que luego se puede aprovechar para obtener tokens CSRF y cookies de SecurdenPost a través de la URL /get_csrf_token.
Este mecanismo de autenticación basado en cookies no puede validar adecuadamente la autorización del usuario, en su lugar, solo verifica la presencia de estos tokens de sesión.
El descubrimiento surgió durante los ejercicios continuos de equipo rojo realizado a través del Servicio de Comando Vector de Rapid7.
Analistas de Rapid7 identificado Las vulnerabilidades mientras realizan evaluaciones de seguridad de rutina, reconociendo rápidamente las severas implicaciones para las organizaciones que dependen de la solución PAM para la gestión de credenciales y el control de acceso.
Más allá del bypass de autenticación primaria, los investigadores descubrieron tres vulnerabilidades adicionales que agravan el riesgo de seguridad.
Estos incluyen una falla de carga de archivos sin restricciones no autenticada (CVE-2025-53119), una vulnerabilidad transversal de ruta en la funcionalidad de carga de archivos (CVE-2025-53120) y un problema de infraestructura clave de SSH compartido (CVE-2025-6737) que afecta los servicios de Gateway de Cloud de Securden.
Mecanismo de explotación y análisis técnico
La vulnerabilidad de derivación de la autenticación demuestra vectores de ataque particularmente sofisticados a través de su explotación de la funcionalidad de respaldo.
Una vez que los atacantes obtienen los tokens de sesión necesarios, pueden acceder al punto final /configure_schedule para activar copias de seguridad de contraseñas cifradas con privilegios de administrador.
El ataque aprovecha el tipo de datos de credenciales completas, requiriendo que solo exista una cuenta de SuperAdmin dentro del sistema.
El análisis técnico revela que la explotación exitosa requiere eliminar el encabezado replanteado con X con las solicitudes de derivación de la autenticación, ya que el servidor devuelve errores cuando este encabezado está presente.
Los atacantes pueden especificar ubicaciones de copia de seguridad personalizadas, incluidas las acciones de SMB externas o la carpeta de raíz web estática de la aplicación, que permite la descarga directa de archivos de credenciales cifrados.
Los nombres de archivo de respaldo siguen patrones predecibles basados en marcas de tiempo de respaldo, lo que los hace susceptibles a los ataques de descubrimiento de fuerza bruta.
El impacto de la vulnerabilidad se extiende más allá del simple robo de credenciales. Cuando se combina con las vulnerabilidades de carga de archivos, los atacantes pueden lograr la ejecución completa de código remoto sobrescribiendo archivos del sistema como Postgresbackup.bat con comandos de PowerShell maliciosos.
Esta cadena de ataque de varias etapas transforma lo que inicialmente aparece como un problema de autenticación en la capacidad completa del compromiso del sistema.
CVE IDVulnerability NamecvSS ScoreImpactEd VersionsCVE-2025-53118Authentication bypass9.4ByPass Autenticación para acceder a las funciones de copia de seguridad y robar contraseñas/secrrets9.0.x a 11.3.1CVE-2025-53119999Nauticada Unidad sin restricciones de la carga 7.5UPLOAD BINICITAMIENTOS y BILARIOS MALICIOSOS Y BINARIOS SCURICIONES Y SCRIPTIVOS SIGUROS sin Authents sin autores sin Authents sin autores sin Authentation Sin embargo. 11.3.1CVE-2025-53120 Path Traversal en el archivo cargada 9.4Remote Code Ejecución a través de la ruta transversal en las cargas de archivo 9.0.x a 11.3.1CVE-2025-6737 SSH Key e infraestructura en la nube 7.2access Server de la puerta
Securden ha abordado estas vulnerabilidades en la versión 11.4.4, enfatizando la importancia crítica de las actualizaciones inmediatas para todas las instalaciones afectadas para evitar la explotación potencial de estos fallas de seguridad graves.
Aumente su SOC y ayude a su equipo a proteger su negocio con inteligencia gratuita de amenazas de primer nivel: Solicitar prueba de prueba premium de búsqueda TI.
