CVE-2025-24977

La gravedad de esta vulnerabilidad radica en que un atacante, una vez que obtenga acceso con los permisos necesarios, puede lograr una ejecución de código arbitraria en el servidor donde se ejecuta OpenCTI. Esto implica la posibilidad de tomar control total de la infraestructura, robar datos sensibles, instalar malware, o realizar ataques de denegación de servicio (DoS). El acceso a secretos del servidor, como contraseñas y claves de API, podría permitir al atacante escalar privilegios y comprometer otros sistemas dentro de la red. La ejecución dentro de un contenedor, como se describe, podría facilitar la evasión de controles de seguridad y la persistencia en el entorno.

Organizations utilizing OpenCTI for threat intelligence management are at risk, particularly those with lax access controls or shared hosting environments. Deployment patterns where multiple users have elevated privileges within OpenCTI increase the potential attack surface. Legacy OpenCTI installations that have not been regularly patched are also particularly vulnerable.

• python: Monitor OpenCTI logs for unusual command execution attempts, particularly those originating from webhook requests.

# Example: Check for suspicious commands in OpenCTI logs
import re
with open('opencti.log', 'r') as f:
    for line in f:
        if re.search(r'command:.*(rm -rf|wget|curl)', line):
            print(f'Suspicious command detected: {line}')

• linux / server: Use journalctl to filter for errors or warnings related to OpenCTI's webhook processing.

journalctl -u opencti -f --grep 'webhook' --grep 'error'

• generic web: Monitor access logs for unusual patterns of requests to OpenCTI webhook endpoints. Look for requests with unexpected parameters or payloads.

1. 2025-05-05Disclosure

   disclosure

1. Reservado2025-01-29
2. Publicada2025-05-05
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-24977 es actualizar OpenCTI a la versión 6.4.11 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización inmediata no es posible debido a problemas de compatibilidad o interrupciones del servicio, se recomienda restringir el acceso a la capacidad manage customizations a un mínimo de usuarios con necesidad real. Implementar controles de acceso estrictos y auditoría de las acciones de los usuarios con estos permisos puede ayudar a detectar y prevenir abusos. Monitorear los logs de OpenCTI en busca de actividades sospechosas, como la ejecución de comandos no autorizados, también es crucial. Se recomienda revisar la configuración de los webhooks para asegurar que no permitan la ejecución de código arbitrario.