Vulnerabilidad en GFI Kerio Control 9.4.5 (CVE-2025-34069)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-306
Ausencia de autenticación para una función crítica
Fecha de publicación:
02/07/2025
Última modificación:
03/07/2025
Descripción
Existe una vulnerabilidad de omisión de autenticación en GFI Kerio Control 9.4.5 debido a una configuración de proxy predeterminada insegura y un control de acceso deficiente en el servicio GFIAgent. El proxy no transparente del puerto TCP 3128 puede utilizarse para reenviar solicitudes no autenticadas a servicios internos como GFIAgent, evadiendo las restricciones del firewall y exponiendo los endpoints de administración internos. Esto permite a atacantes no autenticados acceder al servicio GFIAgent en los puertos 7995 y 7996, recuperar el UUID del dispositivo y emitir solicitudes administrativas a través del proxy. Su explotación da como resultado acceso administrativo completo al dispositivo Kerio Control.
Impacto
Puntuación base 4.0
9.50
Gravedad 4.0
CRÍTICA