Vulnerabilità Telerik UI: pubblicato exploit non autenticato per RCE, ma la patch è già disponibile

Le recenti ricerche di TantoSec hanno messo in luce una catena di vulnerabilità in Telerik UI per ASP.NET AJAX che, se sfruttata, permette a un aggressore non autenticato di eseguire codice arbitrario sul server. Sebbene le falle siano state corrette da Progress a luglio, la pubblicazione di uno strumento funzionante e di due payload rende la minaccia più concreta per le installazioni ancora vulnerabili.

Dettagli tecnici della catena di exploit

La catena si basa su quattro CVE:

• CVE‑2026‑13182: un padding oracle derivante dalla cifratura AES‑CBC del controllo RadAsyncUpload, priva di verifiche di integrità. Manipolando il payload cifrato, l’attaccante può determinare se il padding è corretto e quindi decrittare o forgiare dati senza conoscere la chiave.
• CVE‑2026‑13181: una vulnerabilità di type‑resolution non filtrata che consente di specificare un tipo .NET arbitrario da deserializzare, bypassando qualsiasi whitelist.
• CVE‑2026‑13183: una variante basata sul timing dell’oracolo, utile quando i messaggi di errore sono nascosti.
• CVE‑2026‑13184: una chiave di cifratura predefinita prevedibile, impiegata solo in una modalità di attacco non mostrata nello strumento rilasciato.

L’attacco richiede due precondizioni non soddisfatte da un’installazione di default: la presenza di un controllo RadAsyncUpload con handler lato server attivo e la configurazione di una chiave di cifratura personalizzata (una pratica consigliata da Telerik per l’hardening). Quando queste condizioni sono presenti, l’oracolo permette di forgiare la configurazione di upload, nominare un tipo .NET malevolo e caricare una DLL “mixed‑mode” che esegue codice nativo immediatamente.

Impatto e probabilità di sfruttamento

Nonostante la gravità (CVSS 8.1 per la CVE‑2026‑13181), non sono stati segnalati casi di sfruttamento in ambienti di produzione. La complessità dell’attacco è elevata a causa delle precondizioni richieste e del volume di richieste necessario (circa 127 000 richieste all’oracolo, pari a un’ora in laboratorio). Tuttavia, la disponibilità di uno strumento automatizzato riduce la barriera tecnica, rendendo la vulnerabilità più appetibile per attori opportunisti o per gruppi di scansione automatizzata.

Raccomandazioni per la mitigazione

• Aggiornamento immediato: passare a Telerik UI for ASP.NET AJAX 2026.2.708 o versioni successive, che sostituiscono l’AES‑CBC con una cifratura autenticata e chiudono l’intera catena.
• Misure temporanee: disabilitare o rimuovere il controllo RadAsyncUpload se non è strettamente necessario; verificare che il server non utilizzi chiavi di cifratura personalizzate per questo controllo.
• Monitoraggio e hunting: cercare processi w3wp.exe che avviano cmd.exe, file .aspx inattesi nella root web, o DLL “mixed‑mode” create nella cartella temporanea del controllo o in App_Data. Poiché i log di ASP.NET potrebbero non registrare l’attacco, è consigliato un monitoraggio basato su comportamenti anomali.

Contesto storico e rischi futuri

Telerik UI ha già subito attacchi significativi: la vulnerabilità CVE‑2019‑18935 è stata sfruttata da ransomware e attori statali, con incidenti documentati fino al 2025. Questo storico rende la community particolarmente sensibile a nuove catene di exploit, anche se non ancora confermate in produzione. La pubblicazione di exploit pubblici aumenta il rischio di “weaponization” da parte di gruppi di scanning automatizzato, che potrebbero tentare di individuare le configurazioni vulnerabili.

Conclusioni sull’impatto economico e industriale

La scoperta evidenzia l’importanza di una gestione proattiva delle vulnerabilità nei componenti di terze parti. Le aziende che non aggiornano tempestivamente Telerik UI rischiano di incorrere in costi di risposta a incidenti, perdita di fiducia dei clienti e potenziali sanzioni normative in caso di violazione dei dati. L’investimento in patch management, in combinazione con pratiche di threat hunting basate su indicatori comportamentali, è ora più cruciale che mai per mitigare il rischio di attacchi RCE non autenticati.