Attackers Target Rejetto HFS Flaw That Enables Admin Session Forgery and RCE
The Hacker News · 5 oct, 10:09
Un fallo crítico en Rejetto HTTP File Server (HFS) de las versiones 3.0.0 a 3.2.0 está siendo explotado activamente. El CVE-2026-61500 (CVSS 9.3) permite falsificar sesiones de administrador y ejecutar código remoto porque el servidor usa un generador de números pseudoaleatorios débil (Math.random()) para firmar cookies de sesión, cuya salida se expone a clientes no autenticados. Un atacante puede reconstruir el estado del generador, recuperar la clave de firma y acceder como administrador para ejecutar código JavaScript arbitrario en el servidor.
El servidor Rejetto HFS permite a los atacantes no autenticados recopilar respuestas de inicio de sesión, reconstruir el estado del generador de números pseudoaleatorios de V8, recuperar la clave de firma de cookies de sesión y falsificar una cookie de sesión de administrador válida. Una vez autenticados como administrador, el atacante puede usar la funcionalidad de configuración server_code para ejecutar JavaScript arbitrario en el servidor, logrando acceso administrativo completo y ejecución remota de código (RCE).
El parche se lanzó en julio de 2026 en la versión 3.2.1, pero un exploit basado en Python se publicó públicamente el 30 de septiembre de 2026 por Alejandro Ramos. VulnCheck detectó intentos de explotación el 1 de octubre de 2026, un día después de que Horizon3.ai publicara detalles adicionales. Se identificó a un actor de amenazas sin nombre en China dirigiéndose a hosts vulnerables reales en EE. UU. Este es el segundo CVE crítico en Rejetto HFS que sufre explotación activa: el anterior fue CVE-2024-23692 en julio de 2024.
Puntos clave
- Afecta Rejetto HFS 3.0.0 a 3.2.0; parche disponible en versión 3.2.1 de julio de 2026
- CVE-2026-61500 permite bypass de autenticación y RCE sin credenciales previas
- Exploit público disponible desde 30 de septiembre de 2026; explotación activa detectada desde 1 de octubre
- Actor de amenazas en China ya dirigiéndose a hosts vulnerables en EE. UU.
Figuras de la fuente
