⚙️ Analisi Tecnica

📨 Passaggio 1 — Invio dell'Email Dannosa

L'attaccante invia un'email con un allegato appositamente predisposto.

🧩 Passaggio 2 — Bypass della Sanificazione del Nome File

FreeScout tenta di bloccare file pericolosi come .htaccess, ma l'attaccante:

• Antepone un carattere Unicode a larghezza zero
• Bypassa la validazione del nome file
• Il file viene salvato come file server eseguibile valido

💣 Passaggio 3 — Esecuzione Remota

L'attaccante accede al file caricato tramite percorso web ed esegue comandi arbitrari.

Risultato:

✅ Se l'operazione riesce, ecco ESATTAMENTE cosa vedrai (passo dopo passo):

1. Nel tuo terminale (subito dopo aver eseguito lo script)

Vedrai anche stampate le istruzioni per i passaggi successivi.

2. Quando esegui il comando find sul tuo server FreeScout via SSH

Restituirà immediatamente il percorso reale completo del file caricato, ad esempio:

(o una cartella simile con data/ora — questo conferma che FreeScout ha salvato automaticamente l'allegato).

3. La VERA prova del successo — nel tuo browser (questo è il momento in cui capisci di avere piena RCE)

Copia il percorso del passaggio 2 e apri questo URL:

Vedrai esattamente questo output (testo semplice):

(O qualunque sia l'utente Apache/PHP sul tuo server — di solito www-data, apache o nobody).

Ora cambia il comando e aggiorna la pagina:

Vedrai:

E per ls -la:

Questo output appare direttamente nella pagina del browser (all'interno dei tag <pre> della webshell). Nessun errore, nessun codice sorgente PHP, nessun 404.

Questo significa che hai piena esecuzione remota di codice sul server — il bypass .htaccess + spazio a larghezza zero ha funzionato perfettamente e l'allegato email è stato elaborato senza alcuna interazione da parte dell'utente.

🎯 Perché è Pericoloso

• ⚡ Sfruttamento zero-click
• 🌐 Superficie d'attacco remota (email)
• 🔓 Nessuna autenticazione richiesta
• 🧨 Piena capacità RCE
• 📂 Potenziale esfiltrazione di dati
• 🔁 Movimento laterale all'interno delle reti interne

📦 Versioni Interessate

Tutte le versioni di FreeScout:

✅ Versione Corretta

Aggiorna immediatamente a:

🛡️ Passaggi di Mitigazione

1️⃣ Azione Immediata

• Aggiorna FreeScout all'ultima versione

2️⃣ Rafforza il Web Server

• Disabilita AllowOverride All nella configurazione di Apache
• Limita l'esecuzione all'interno delle directory degli allegati

3️⃣ Monitora i Log

Cerca:

• File .htaccess sospetti
• Caricamenti di allegati insoliti
• Tentativi di accesso diretto a /storage/attachments/

🔍 Suggerimenti per il Rilevamento

Gli indicatori di compromissione possono includere:

• File .htaccess sconosciuti nelle cartelle degli allegati
• Picchi di traffico in uscita
• Web server che avvia processi shell
• Richieste POST/GET sospette verso percorsi degli allegati

🧪 Proof-of-Concept (Concettuale)

📌 Vulnerabilità Correlata

Questo problema ha bypassato le protezioni aggiunte in:

• CVE-2026-27636

Dimostrando una logica incompleta di sanificazione dei nomi file.

📊 Valutazione dell'Impatto

🧩 Lezioni Apprese

• La gestione di Unicode deve essere normalizzata prima della validazione
• Non affidarsi esclusivamente al filtraggio dei nomi file
• Le directory degli allegati non dovrebbero mai consentire l'esecuzione di codice
• I vettori zero-click sono superfici d'attacco ad alto rischio

📚 Riferimenti

• Advisory di Sicurezza di FreeScout
• Voce NVD per CVE-2026-28289