Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Vulnerabilidad CVE-2024-1708
Vulnerabilidad CVE-2024-1708
Publicado: 20/02/2026
Escrito por: Nadine Rozell
Las CVE son Vulnerabilidades y Exposiciones Comunes: identificadores únicos asignados a vulnerabilidades de ciberseguridad conocidas públicamente.
CVE-2024-1708 es una vulnerabilidad de path traversal de alta severidad en ConnectWise ScreenConnect (ahora ConnectWise Access). Es ampliamente conocida como la segunda mitad de la devastadora cadena de explotación "SlashAndGrab".
Mientras que CVE-2024-1709 permite a los atacantes evitar la autenticación, CVE-2024-1708 es el mecanismo que entrega el payload. Permite que un atacante (o un administrador comprometido) sobrescriba archivos críticos en el servidor, lo que lleva a una ejecución remota de código (RCE) completa.
Esta página explica los mecanismos de esta vulnerabilidad "Zip Slip", cómo alimentó campañas masivas de ransomware, y cómo asegurarte de que tu instancia específica esté protegida.
¿Qué es la vulnerabilidad CVE-2024-1708?
CVE-2024-1708 es una vulnerabilidad de Path Traversal, específicamente una falla de "Zip Slip", dentro del mecanismo de gestión de extensiones de ScreenConnect.
Normalmente, cuando un usuario sube una extensión (un archivo .zip), el servidor debería extraer el contenido solo en un subdirectorio seguro y designado. Sin embargo, las versiones vulnerables de ScreenConnect no validaban los nombres de archivo dentro del archivo zip.
Un atacante puede crear una extensión maliciosa que contenga archivos con caracteres de path traversal (por ejemplo, ../../malware.exe). Cuando el servidor procesa este archivo, sigue ciegamente estas instrucciones y escribe el archivo del atacante fuera de la carpeta prevista, a menudo colocando una webshell directamente en el directorio raíz de la aplicación para obtener control a nivel de sistema.
¿Cuándo se descubrió?
La vulnerabilidad fue divulgada públicamente por ConnectWise el 19 de febrero de 2024, junto con el bypass de autenticación (CVE-2024-1709).
Los investigadores de Huntress analizaron de inmediato el parche y lograron recrear la cadena de explotación ese mismo día, identificando poco después explotación activa en el entorno real.
Productos y versiones afectados
Cualquier instalación local (autoalojada) de ScreenConnect que no haya sido parcheada a la versión 23.9.8 es vulnerable.
Producto | Versiones afectadas | Versiones corregidas/enlace al parche |
ConnectWise ScreenConnect | 23.9.7 y anteriores |
Descripción técnica de CVE-2024-1708
La vulnerabilidad existe en el método ZipDirectory.ExtractToDirectory usado por la aplicación para instalar extensiones.
En las versiones sin parchar, el código recorría los archivos de un archivo .zip subido y los escribía en el disco sin verificar si la ruta del archivo contenía secuencias de "punto-punto-barra" (../).
Los atacantes explotan esto creando un archivo zip donde la estructura interna de archivos se ve así:
../../../../../../../Windows/Temp/malware.exe o ../App_Extensions/webshell.aspx.
Cuando el servidor de ScreenConnect (ejecutándose con privilegios de SYSTEM) extrae esto, escribe sin saberlo el archivo en la ubicación sensible especificada por el atacante. Esto le permite colocar código ejecutable (como una shell ASPX) en un directorio accesible desde la web, al que luego accede para ejecutar comandos.
Tácticas, técnicas y procedimientos (TTPs)
CVE-2024-1708 rara vez se usa solo; casi siempre se encadena con el bypass de autenticación (CVE-2024-1709).
Acceso inicial: Los atacantes usan CVE-2024-1709 para crear una nueva cuenta de administrador (a menudo llamada admin o flash).
Ejecución (CVE-2024-1708): Usando su nuevo acceso de administrador, suben una extensión "envenenada" mediante el menú "Extensions". Esto activa la vulnerabilidad Zip Slip.
Cargas útiles:
Webshells: Shells simples de .aspx o .ashx colocados en C:\Program Files (x86)\ScreenConnect\App_Extensions\.
Ransomware: Grupos importantes como LockBit, Black Basta y Play usaron este acceso para implementar cifradores de inmediato.
Herramientas: Despliegue de balizas de Cobalt Strike y troyanos de acceso remoto (RAT) como XWorm y AsyncRAT.
Indicadores de compromiso
Los defensores deben buscar artefactos dejados por la extracción "Zip Slip":
Archivos sospechosos en la raíz: Archivos ejecutables (.exe, .dll) o scripts (.aspx, .ashx, .ps1) encontrados directamente en C:\Program Files (x86)\ScreenConnect\App_Extensions\ o App_ClientConfig. Las extensiones legítimas suelen residir en sus propios subdirectorios nombrados con GUID.
Extensiones maliciosas: Revisa la lista de "Extensions" en el panel de ScreenConnect en busca de complementos no reconocidos, a menudo con nombres genéricos o descripciones en blanco.
Entradas de registro: Registros de IIS que muestran solicitudes POST a /Services/ExtensionService.ashx/InstallExtension seguidas de inmediato por solicitudes GET a archivos extraños de .aspx.
Pruebas de concepto y exploits conocidos
El exploit es trivial y ampliamente disponible.
Huntress y otros investigadores publicaron un análisis técnico (acuñando el término "SlashAndGrab") que demostró con cuánta facilidad se podían explotar estas vulnerabilidades. Como el exploit no requiere programación avanzada, solo una URL modificada y un archivo zip, fue adoptado rápidamente tanto por atacantes de baja sofisticación como por amenazas persistentes avanzadas (APT).
¿Cómo detectar la vulnerabilidad CVE-2024-1708?
Verificación de versión: La detección más confiable es revisar el número de versión en el pie de página de la página de inicio de sesión de ScreenConnect. Cualquier versión inferior a 23.9.8 es vulnerable.
Monitoreo del sistema de archivos: Configura Managed EDR para alertar sobre escrituras de archivos en el directorio App_Extensions de ScreenConnect que no coincidan con la estructura de subdirectorios esperada.
Análisis de registros web: Escanea los registros de IIS en busca de la cadena /SetupWizard.aspx/ (que indica el bypass de autenticación usado para facilitar este ataque).
Impacto y riesgo de la vulnerabilidad CVE-2024-1708
El riesgo es crítico.
ScreenConnect es una herramienta de monitoreo y gestión remota (RMM), lo que significa que tiene control administrativo sobre otros endpoints. Comprometer el servidor de ScreenConnect mediante CVE-2024-1708 a menudo le da al atacante una capacidad de "modo dios" para enviar malware a cada dispositivo cliente administrado por ese servidor.
Este efecto de "cadena de suministro" permite que un solo exploit se convierta en un evento de ransomware masivo que afecta a cientos o miles de endpoints posteriores.
Estrategias de mitigación y remediación
Aplica el parche de inmediato: Actualiza tu servidor de ScreenConnect local a la versión 23.9.8 o posterior. ConnectWise eliminó las restricciones de licencia para permitir que todos los usuarios actualicen.
Aísla los servidores comprometidos: Si encuentras evidencia de explotación (por ejemplo, cuentas de administrador desconocidas), asume que el servidor está totalmente comprometido. No te limites a aplicar el parche; reconstrúyelo a partir de una copia de seguridad limpia conocida para asegurarte de que no queden puertas traseras.
Restringe el acceso: Como buena práctica, coloca la interfaz administrativa de ScreenConnect detrás de una VPN o restringe el acceso a direcciones IP confiables para evitar futuras explotaciones de vulnerabilidades de la interfaz web.
Preguntas frecuentes sobre la vulnerabilidad CVE-2024-1708
Es una vulnerabilidad de path traversal de tipo "Zip Slip". Permite que un atacante suba un archivo zip malicioso que, al ser extraído por el servidor, escribe archivos en ubicaciones peligrosas (como la raíz web) en lugar de la carpeta prevista, lo que le permite ejecutar código malicioso.
Normalmente se explota después de que un atacante evade la autenticación (usando CVE-2024-1709). Suben un archivo de "extensión" malicioso. El servidor descomprime este archivo y, sin darse cuenta, deja un virus o webshell en la unidad del sistema, dándole al atacante control total.
Sí. Aunque la mayoría de los servidores activos se parchearon a principios de 2024, cualquier servidor olvidado o descuidado que siga expuesto a internet está garantizado a estar comprometido. Los grupos de ransomware siguen escaneando en busca de instancias vulnerables.
La única solución esinstalar la actualización 23.9.8 proporcionada por ConnectWise. Si no puedes aplicar el parche de inmediato, debes desconectar el servidor, ya que no existen soluciones alternativas efectivas para servidores expuestos.
