Vulnerabilidades y Avisos de Seguridad: Uso de generador pseudoaleatorio criptográficamente débil en HFS de Rejetto

Resumen de la alerta

Se ha identificado una vulnerabilidad crítica en Rejetto HTTP File Server (HFS) que puede permitir a un atacante remoto sin autenticación suplantar una sesión de administrador y ejecutar código de forma remota en el servidor afectado.

La vulnerabilidad está identificada como CVE-2026-61500 y afecta a versiones de HFS desde la 3.0.0 hasta la 3.2.0, ambas incluidas. INCIBE-CERT ha indicado que existen intentos de explotación activa, por lo que las organizaciones con instancias vulnerables, especialmente aquellas expuestas a Internet, deben priorizar la actualización y la revisión de sus sistemas.

Recursos afectados

El aviso afecta a Rejetto HTTP File Server (HFS), del fabricante REJETTO, en las siguientes versiones:

• Desde la versión 3.0.0.
• Hasta la versión 3.2.0, incluida.

Descripción de la vulnerabilidad

CVE-2026-61500 se debe al uso de un generador pseudoaleatorio que no proporciona garantías criptográficas adecuadas para crear la clave utilizada en la firma de las cookies de sesión.

Las cookies de sesión son elementos que permiten al servidor reconocer a un usuario autenticado. En este caso, la clave de firma debería impedir que terceros creen o manipulen cookies válidas. Sin embargo, el proceso de inicio de sesión también revela resultados generados mediante el mismo mecanismo pseudoaleatorio débil.

Un atacante remoto podría aprovechar esa información para reconstruir la clave de firma y generar una cookie de sesión con privilegios de administrador. A partir de ese acceso, podría utilizar las funciones administrativas de HFS para ejecutar código de forma remota en el sistema donde se encuentra instalado el servicio.

Impacto y nivel de riesgo

La vulnerabilidad tiene severidad crítica. Una explotación satisfactoria podría proporcionar a un atacante no autenticado acceso completo a la administración del servidor HFS y la capacidad de ejecutar código de forma remota.

El impacto potencial depende de la exposición y del uso concreto de cada instancia, pero el acceso administrativo no autorizado puede comprometer la confidencialidad, integridad y disponibilidad del servicio afectado.

Además del riesgo potencial asociado a la vulnerabilidad, INCIBE-CERT informa de intentos de explotación activa de CVE-2026-61500. Este dato eleva la prioridad de respuesta para los sistemas vulnerables, en particular si son accesibles desde Internet.

Solución y medidas recomendadas

La medida indicada para corregir la vulnerabilidad es actualizar Rejetto HFS a la versión 3.2.1 o posterior.

Dado que se han detectado intentos de explotación activa, INCIBE-CERT recomienda revisar los registros y los sistemas vulnerables expuestos a Internet para identificar posibles evidencias de accesos no autorizados.

Recomendaciones para organizaciones afectadas

1. Identificar las instalaciones de Rejetto HFS y comprobar si utilizan versiones entre la 3.0.0 y la 3.2.0.
2. Actualizar a la versión 3.2.1 o posterior con carácter prioritario.
3. Priorizar los servidores expuestos a Internet, al tratarse de sistemas con una mayor superficie de exposición frente a atacantes remotos.
4. Revisar los registros disponibles para detectar posibles indicios de accesos no autorizados en sistemas que hayan permanecido vulnerables.
5. Analizar los sistemas afectados cuando existan señales de actividad anómala o sospechas de acceso administrativo no autorizado.