Cerberus FTP Server của Cerberus bị chèn đường dẫn UNC làm lộ hash Net-NTLMv2

Một lỗ hổng trong Cerberus FTP Server cho phép kẻ tấn công từ xa đã xác thực thực hiện chèn đường dẫn UNC thông qua một tham số bị thao túng. Bằng cách cung cấp một đường dẫn SMB share độc hại, kẻ tấn công có thể thực hiện cưỡng bức xác thực đối với máy chủ nền, dẫn đến việc làm lộ hash Net-NTLMv2 của tài khoản dịch vụ Cerberus. Vấn đề này đã được khắc phục trong Cerberus FTP Server: 2026.3.0.

• Bản ghi CNA đánh dấu Cerberus FTP Server trên Windows là bị ảnh hưởng với dải có version: 0, lessThan: 2026.3.0, status: affected; defaultStatus là unaffected.
• Advisory kỹ thuật mô tả cấu hình tái hiện trên Cerberus FTP Enterprise 2026.1.0.
• Bản ghi và advisory xác nhận vấn đề đã được xử lý trong 2026.3.0.
• Release notes được kiểm tra có liệt kê 2026.3.1, nhưng nội dung trả về không ánh xạ riêng phiên bản đó với vấn đề này. Không nên suy ra phạm vi của các nhánh phát hành khác ngoài ranh giới được xác nhận ở trên.

Lỗ hổng nằm trong luồng kiểm tra tệp tải lên của web client, tại endpoint file/json/check-upload. Người dùng từ xa đã xác thực có thể kiểm soát các tham số relPath và cd; dữ liệu trong relPath không được kiểm tra hoặc làm sạch đầy đủ, còn cd không bị giới hạn chặt vào virtual directory hiện có của người dùng. Khi ứng dụng xử lý một đường dẫn UNC do kẻ tấn công cung cấp, máy chủ thực hiện kiểm tra tồn tại tệp ở phía server trong ngữ cảnh của tài khoản dịch vụ Windows chạy Cerberus, từ đó có thể khởi tạo xác thực SMB ra máy chủ do kẻ tấn công kiểm soát. Hash Net-NTLMv2 của tài khoản dịch vụ có thể bị thu thập và sau đó có khả năng bị crack offline hoặc dùng trong NTLM relay, tùy thuộc vào chính sách xác thực và cấu hình mạng. Bản ghi xác nhận lớp điểm yếu là CWE-40; chưa có bằng chứng cho thấy các luồng xử lý đường dẫn khác ngoài thành phần web client này cũng bị ảnh hưởng.

Lỗ hổng có thể bị khai thác qua mạng bởi người dùng đã xác thực, không cần người dùng khác tương tác và yêu cầu mức đặc quyền thấp. Luồng khai thác được mô tả bắt đầu khi người dùng gửi yêu cầu kiểm tra tải lên chứa đường dẫn UNC do họ kiểm soát, khiến máy chủ thực hiện truy cập SMB ra ngoài. Một advisory công khai có tài liệu proof of concept cho việc làm lộ thông tin xác thực của tài khoản dịch vụ. Bằng chứng được cung cấp không xác nhận việc lỗ hổng đang bị khai thác trong các chiến dịch thực tế; tình trạng khai thác ngoài thực tế vẫn chưa được thiết lập.

Một yêu cầu được tạo bởi người dùng đã xác thực có thể khiến máy chủ Cerberus thực hiện kết nối SMB outbound bằng danh tính của tài khoản dịch vụ Windows. Kết quả kỹ thuật trực tiếp là làm lộ vật liệu xác thực Net-NTLMv2, không phải thay đổi trực tiếp dữ liệu hoặc trạng thái sẵn sàng của máy chủ. Về tổ chức, hash bị lộ có thể tạo rủi ro truy cập sang các dịch vụ khác nếu bị crack hoặc relay thành công; mức độ phụ thuộc vào mật khẩu tài khoản dịch vụ, chính sách NTLM, phân đoạn mạng và biện pháp chống relay. Bằng chứng hiện có không xác nhận quyền thực thi mã, sửa đổi tệp hoặc chiếm quyền quản trị là hậu quả trực tiếp của lỗ hổng.

• Lộ thông tin xác thực: Hash Net-NTLMv2 của tài khoản dịch vụ có thể bị gửi tới máy chủ SMB do kẻ tấn công kiểm soát.
• Rủi ro truy cập liên đới: Tùy độ mạnh mật khẩu, chính sách NTLM, phân đoạn mạng và cơ chế chống relay, thông tin thu thập được có thể bị crack offline hoặc relay sang dịch vụ khác.
• Phạm vi ảnh hưởng trực tiếp: Bằng chứng mô tả việc làm lộ vật liệu xác thực; không xác lập việc lỗ hổng tự nó sửa đổi tệp, chiếm quyền thực thi mã hoặc làm gián đoạn dịch vụ.
• Gánh nặng vận hành: Sự kiện SMB outbound có thể khó nhận biết nếu chỉ dựa vào log ứng dụng, vì vậy tổ chức cần kết hợp log Cerberus với telemetry Windows và mạng.

1. Nâng cấp Cerberus FTP Server lên 2026.3.0, là phiên bản được bản ghi và advisory xác nhận đã xử lý vấn đề.
2. Nếu không thể nâng cấp ngay, coi mọi triển khai nằm trong dải bị ảnh hưởng là có rủi ro, ưu tiên giảm quyền sử dụng web client và rà soát khả năng máy chủ Cerberus tạo kết nối SMB outbound. Đây là biện pháp giảm rủi ro tạm thời, không phải bản sửa được nhà cung cấp xác nhận.
3. Sau khi nâng cấp, xác minh phiên bản thực tế trên từng máy chủ, kiểm tra lại web client và rà soát log để xác định các yêu cầu UNC hoặc kết nối SMB bất thường trước đó.
4. Bằng chứng được cung cấp không nêu một workaround chính thức riêng biệt; các triển khai ở nhánh khác cần được nhà cung cấp xác nhận về trạng thái bản vá trước khi coi là đã được xử lý.

• Kiểm kê mọi máy chủ Windows chạy Cerberus FTP Server và đối chiếu phiên bản với dải bị ảnh hưởng trong affected_summary.
• Xác định các triển khai bật web client và các tài khoản bên ngoài có quyền thực hiện thao tác tải tệp.
• Rà soát administrative console logs cho các yêu cầu tới file/json/check-upload, đặc biệt những yêu cầu có relPath bất thường, giá trị giống đường dẫn UNC hoặc cd để trống.
• Kiểm tra lưu lượng SMB outbound từ máy chủ Cerberus tới các máy chủ không nằm trong danh sách tin cậy, cùng các sự kiện xác thực NTLM phát sinh từ tài khoản dịch vụ Cerberus.
• Xem xét Windows, firewall và network telemetry để tìm các kết nối SMB bất thường liên quan đến máy chủ bị ảnh hưởng. Việc không thấy log không chứng minh rằng hệ thống an toàn, vì advisory cho biết hoạt động xác thực SMB outbound có thể không hiển thị rõ nếu không chủ động giám sát.