Vulnerabilidades críticas en Fortra 2025
Vulnerabilidad crítica - 22 de septiembre
Introducción
CVE-2025-10035 es una vulnerabilidad de ejecución remota de código no autenticada en un producto crítico y ampliamente desplegado.En 2023 ya hubo incidentes masivos con vulnerabilidades previas en este mismo producto, explotadas por grupos como Clop ransomware, lo cual afectó a cientos de organizaciones. Esta nueva CVE hereda ese riesgo.
Análisis
CVE-2025-10035 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H - 10
CVE-2025-10035 es una vulnerabilidad crítica que afecta a GoAnywhere MFT (Managed File Transfer), producto de Fortra, y que se encuentra en el License Servlet del sistema, un componente que valida las licencias del software. Fortra describe el fallo como una deserialización insegura que ocurre si un actor remoto consigue entregar una respuesta de licencia cuya firma aparece como válida; en ese caso el servidor puede llegar a deserializar un objeto controlado por el atacante, lo que abre la puerta a comportamiento no previsto
Versiones afectadas
Aquellas anteriores a 7.8.4 (versión estándar) o anteriores a 7.6.3 (versión sustain release).
Recomendaciones
- Actualizar a una versión parcheada (la última versión 7.8.4 o la versión sostenida 7.6.3)
- Asegurarse de que el acceso a la consola de administración de GoAnywhere no esté disponible para el público. La explotación de esta vulnerabilidad depende en gran medida de la exposición externa de los sistemas a Internet
Workarounds
No hay workarounds para esta vulnerabilidad.