⚙️ Desglose técnico

📨 Paso 1 — Entrega de correo electrónico malicioso

El atacante envía un correo electrónico con un archivo adjunto especialmente diseñado.

🧩 Paso 2 — Omisión de la sanitización de nombres de archivo

FreeScout intenta bloquear archivos peligrosos como .htaccess, pero el atacante:

• Antepone un carácter Unicode de ancho cero
• Omite la validación del nombre de archivo
• El archivo se guarda como un archivo ejecutable válido del servidor

💣 Paso 3 — Ejecución remota

El atacante accede al archivo subido a través de la ruta web y ejecuta comandos arbitrarios.

Resultado:

✅ Si la operación es exitosa, esto es EXACTAMENTE lo que verá (paso a paso):

1. En su terminal (justo después de ejecutar el script)

2. Cuando ejecute el comando find en su servidor FreeScout vía SSH

Devolverá inmediatamente la ruta real completa al archivo subido, por ejemplo:

3. La PRUEBA real de éxito — en su navegador (este es el momento en que sabe que tiene RCE completa)

Copie la ruta del paso 2 y abra esta URL:

Verá exactamente esta salida (texto plano):

(O el usuario de Apache/PHP que sea en su servidor — normalmente www-data, apache o nobody).

Ahora cambie el comando y actualice:

Verá:

Y para ls -la:

Esta salida aparece directamente en la página del navegador (dentro de etiquetas <pre> de la web shell). Sin error, sin código fuente PHP, sin 404.

Esto significa que tiene ejecución remota de código completa en el servidor — la omisión de .htaccess + espacio de ancho cero funcionó perfectamente, y el archivo adjunto se procesó sin ninguna interacción del usuario.

🎯 Por qué esto es peligroso

• ⚡ Explotación sin clic
• 🌐 Superficie de ataque remota (correo electrónico)
• 🔓 Sin necesidad de autenticación
• 🧨 Capacidad de RCE completa
• 📂 Potencial exfiltración de datos
• 🔁 Movimiento lateral dentro de redes internas

📦 Versiones afectadas

Todas las versiones de FreeScout:

✅ Versión parcheada

Actualice inmediatamente a:

🛡️ Pasos de mitigación

1️⃣ Acción inmediata

• Actualice FreeScout a la última versión

2️⃣ Endurecer el servidor web

• Deshabilitar AllowOverride All en la configuración de Apache
• Restringir la ejecución dentro de los directorios de archivos adjuntos

3️⃣ Monitorear registros

Busque:

• Archivos .htaccess sospechosos
• Cargas de archivos adjuntos inusuales
• Intentos de acceso directo a /storage/attachments/

🔍 Consejos de detección

Los indicadores de compromiso pueden incluir:

• Archivos .htaccess desconocidos en carpetas de archivos adjuntos
• Picos de tráfico saliente
• El servidor web generando procesos de shell
• Solicitudes POST/GET sospechosas a rutas de archivos adjuntos

🧪 Prueba de concepto (conceptual)

📌 Vulnerabilidad relacionada

Este problema omitió las protecciones añadidas en:

• CVE-2026-27636

Demostrando la lógica incompleta de sanitización de nombres de archivo.

📊 Evaluación de impacto

🧩 Lecciones aprendidas

• El manejo de Unicode debe normalizarse antes de la validación
• Nunca confiar únicamente en el filtrado de nombres de archivo
• Los directorios de archivos adjuntos nunca deben permitir la ejecución de código
• Los vectores sin clic son superficies de ataque de alto riesgo

📚 Referencias

• Aviso de seguridad de FreeScout
• Entrada NVD para CVE-2026-28289