Una vulnerabilidad crítica en Rejetto HFS permite falsificar sesiones de administrador y ejecutar código
Una al día (Hispasec) · 5 oct, 14:59
Se explota activamente CVE-2026-61500 en Rejetto HTTP File Server (HFS), una vulnerabilidad crítica que permite falsificar sesiones de administrador sin autenticación y ejecutar código remoto. Afecta a las versiones 3.0.0 a 3.2.0, se corrige en 3.2.1, y ya circula un PoC en Python con ataques en curso atribuidos a actores con base en China contra servidores expuestos en Internet.
El fallo radica en la generación de la clave de firma de la cookie de sesión: HFS utiliza JavaScript Math.random(), un generador pseudoaleatorio de propósito general, no criptográficamente seguro. El flujo de login expone suficientes salidas del PRNG como para que un atacante reconstruya su estado interno con unas pocas respuestas, comprometiendo así el secreto de firmado.
Una vez falsificada una sesión con privilegios de administrador, el atacante abusa de la funcionalidad server_code para ejecutar JavaScript del lado servidor, logrando RCE completa. El registro público asigna el fallo a CWE-338 (uso de PRNG débil). A finales de septiembre circuló un PoC, y el 1 de octubre de 2026 se detectaron intentos de explotación contra sistemas vulnerables en Estados Unidos, vinculados a un actor no identificado de base china.
Puntos clave
- Actualiza Rejetto HFS a versión 3.2.1 o superior de inmediato
- Afecta a versiones 3.0.0 a 3.2.0 inclusive; CVSS 9.3/9.8 crítico
- PoC público disponible; explotación activa detectada desde 1 de octubre de 2026
- Restringe la interfaz de administración a redes de confianza mediante segmentación
- En caso de compromiso, rota credenciales, verifica integridad del sistema y revisa modificaciones de configuración