CVE-2025-10035 afecta a GoAnywhere Managed File Transfer (MFT) de Fortra, una solución de transferencia de archivos de nivel empresarial ampliamente utilizada, implementada en instalaciones locales (on-premise), en la nube y en entornos híbridos. GoAnywhere MFT es utilizada por organizaciones de todos los tamaños para transferir archivos de forma segura y mantener registros de auditoría. La vulnerabilidad se localiza en el componente License Servlet de la aplicación.
| Producto | GoAnywhere MFT |
| Fecha | 22-09-2025 16:30:46 |
| Información |
|
Resumen técnico
Esta es una vulnerabilidad de deserialización con una puntuación CVSS máxima de 10.0 sobre 10.0, lo que la convierte en un fallo de gravedad crítica. La vulnerabilidad es causada por un defecto de deserialización en el License Servlet de GoAnywhere MFT, que permite a un actor remoto con una firma de respuesta de licencia válidamente falsificada deserializar un objeto arbitrario controlado por el propio actor, obteniendo potencialmente la ejecución de comandos.
Según Fortra, el fallo “permite a un actor con una firma de respuesta de licencia válidamente falsificada deserializar un objeto arbitrario controlado por el actor, lo que posiblemente conduzca a la inyección de comandos”. Aunque actualmente existen pruebas de explotación activa en entornos reales, la vulnerabilidad representa un riesgo grave, especialmente para las organizaciones que exponen la consola de administración de GoAnywhere a Internet.
Recomendaciones
Se requiere corrección inmediata: actualizar inmediatamente a la versión 7.8.4 de GoAnywhere MFT, dado que Fortra lanzó un parche el 18 de septiembre de 2025.
Seguridad de red: limitar la exposición de la consola de administración de GoAnywhere a Internet e implementar una segmentación de red adecuada.
Controles de acceso: revisar y fortalecer los controles de gestión de licencias y los mecanismos de autenticación.
Monitoreo: implementar un monitoreo avanzado para detectar actividades sospechosas relacionadas con la validación de licencias y los intentos de deserialización.
Evaluación de riesgos: dado el puntaje de gravedad máximo y el hecho de que GoAnywhere MFT ha sido en el pasado objetivo de grupos de ransomware, realizar una evaluación de riesgos de inmediato.
Respuesta a incidentes: preparar procedimientos de respuesta a incidentes, ya que este tipo de vulnerabilidad ha sido explotado anteriormente por operadores de ransomware contra soluciones de transferencia de archivos similares.
[Callforaction-THREAT-Footer]