Deserialización no autenticada .NET en Newforma Info Exchange (NIX)

El impacto de esta vulnerabilidad es crítico. Un atacante puede aprovechar la deserialización insegura en el endpoint '/remoteweb/remote.rem' para ejecutar código malicioso en el servidor Newforma Info Exchange. Dado que el código se ejecuta con los privilegios de 'NT AUTHORITY\NetworkService', el atacante podría obtener acceso a datos sensibles, modificar la configuración del sistema, instalar malware o incluso comprometer otros sistemas conectados a la red, especialmente los sistemas Newforma Project Center Server (NPCS). La falta de autenticación necesaria para explotar la vulnerabilidad amplía significativamente el riesgo, ya que cualquier atacante con acceso a la red puede intentar la explotación. Esta vulnerabilidad comparte similitudes con otras explotaciones de deserialización que han permitido el control total del servidor.

Organizations utilizing Newforma Info Exchange, particularly those with direct internet exposure to their NIX servers, are at significant risk. Environments with legacy configurations or those lacking robust network segmentation are especially vulnerable. Shared hosting environments where multiple tenants share the same NIX instance also face increased risk, as a compromise of one tenant could potentially impact others.

• windows / dotnet:

Get-Process -Name NewformaInfoExchange | Select-Object -ExpandProperty Path

• windows / dotnet: Check registry for suspicious deserialization-related entries under HKEYLOCALMACHINE\SOFTWARE\Newforma\InfoExchange. • windows / dotnet: Monitor Windows Defender for alerts related to process creation or network connections involving NewformaInfoExchange.exe. • generic web: Use curl to attempt accessing /remoteweb/remote.rem and observe the response. A successful request without authentication is indicative of the vulnerability.

curl -v http://<target_ip>/remoteweb/remote.rem

1. 2025-10-09Disclosure

   disclosure

2. 2025-10-09Patch

   patch

1. Reservado2025-04-15
2. Publicada2025-10-09
3. Modificada2025-10-10
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-35050 es actualizar Newforma Info Exchange a la versión 2024.3.1 o superior. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso de red al endpoint '/remoteweb/remote.rem'. Esto se puede lograr utilizando el Módulo de Reescritura de URL de IIS (URL Rewrite Module) para bloquear el acceso a este endpoint desde fuentes externas. Además, se recomienda revisar y fortalecer las políticas de seguridad de red para limitar el acceso a los servidores Newforma. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que el endpoint '/remoteweb/remote.rem' ya no acepta datos serializados no autenticados.