AjaxPro: η ξεχασμένη βιβλιοθήκη .NET που ανοίγει την πόρτα στους επιτιθέμενους

THREAT INTELLIGENCE · THREAT ANALYSIS

Μια βιβλιοθήκη για παλιές εφαρμογές ASP.NET, χωρίς διόρθωση στο αρχικό της πακέτο, μπήκε τον Αύγουστο στον κατάλογο ενεργά εκμεταλλεύσιμων ευπαθειών της CISA.

Αν τρέχει ακόμη κάπου στο δίκτυό σας, ένα μόνο αίτημα από το Internet μπορεί να δώσει σε τρίτο εκτέλεση κώδικα στον web server σας.

6 Νοεμβρίου 2026 | CVE-2021-23758 · CWE-502 · CISA KEV

Ανάλυση της Audax Cybersecurity με βάση δημόσια στοιχεία έως τις 6 Νοεμβρίου 2026.

Τι διακυβεύεται για την επιχείρηση

Οι εφαρμογές που κινδυνεύουν σπάνια είναι οι πιο προβεβλημένες μιας εταιρείας. Είναι το παλιό portal πελατών που «απλώς δουλεύει», η εσωτερική εφαρμογή παραγγελιών που ανέπτυξε κάποιος συνεργάτης πριν από χρόνια, η διαδικτυακή είσοδος σε ένα ERP ή ένα σύστημα κρατήσεων. Κανείς δεν τις αγγίζει, άρα κανείς δεν θυμάται ποιες βιβλιοθήκες έχουν μέσα.

Αν μία από αυτές χρησιμοποιεί το Ajax.NET Professional (AjaxPro), ο επιτιθέμενος δεν χρειάζεται κωδικό. Στέλνει ένα ειδικά διαμορφωμένο αίτημα και αποκτά εκτέλεση κώδικα με τα δικαιώματα της εφαρμογής^[1][7]. Από εκεί και πέρα, η ζημιά δεν μένει στον server:

• Διαρροή δεδομένων: η εφαρμογή συνήθως έχει πρόσβαση σε βάση δεδομένων πελατών, παραγγελιών ή τιμολογίων, και τα στοιχεία σύνδεσης βρίσκονται στα αρχεία ρυθμίσεών της.
• Πόρτα προς το εσωτερικό δίκτυο: ο web server γίνεται σημείο εκκίνησης για κίνηση προς άλλα συστήματα, και συχνά για ransomware.
• Ζημιά στη φήμη και στην αναζήτηση: η ομάδα που καταγράφει η Cisco Talos είναι οικονομικά υποκινούμενη και αξιοποιεί παραβιασμένους servers για απάτη SEO και κλοπή δεδομένων^[3]. Ένα site που σερβίρει κρυφά spam ή κακόβουλους συνδέσμους χάνει θέσεις στη Google και την εμπιστοσύνη των πελατών.
• Κόστος αποκατάστασης: έρευνα συμβάντος, επανεγκατάσταση, αλλαγή όλων των κωδικών και μυστικών, και πιθανή ενημέρωση πελατών και αρχών.

Τα βασικά στοιχεία της ευπάθειας

Πώς λειτουργεί η επίθεση

Το AjaxPro επιτρέπει σε μια σελίδα να καλεί μεθόδους του server μέσω JavaScript. Τα ορίσματα ταξιδεύουν ως JSON και ο server τα μετατρέπει ξανά σε αντικείμενα .NET. Αυτή η μετατροπή λέγεται αποσειριοποίηση (deserialization).

Το πρόβλημα είναι ότι οι ευάλωτες εκδόσεις αφήνουν το ίδιο το αίτημα να ορίσει ποια κλάση .NET θα δημιουργηθεί^[1][4]. Ο επιτιθέμενος επιλέγει κλάσεις που υπάρχουν ήδη στο .NET Framework και που, όταν δημιουργούνται με συγκεκριμένες τιμές, εκτελούν εντολές. Η τεχνική είναι γνωστή και υπάρχουν έτοιμα εργαλεία που παράγουν τέτοια φορτία· η Talos καταγράφει ότι η UAT-10147 χρησιμοποιεί το ysoserial και το Metasploit^[3].

Το αποτέλεσμα είναι εκτέλεση κώδικα με τα δικαιώματα της διεργασίας της εφαρμογής. Σε IIS αυτό συνήθως σημαίνει τον λογαριασμό του application pool, που έχει πρόσβαση στα αρχεία, στις ρυθμίσεις και στις συνδέσεις της εφαρμογής με βάσεις δεδομένων.

Εκτίμηση Audax: η πολυπλοκότητα που βλέπει η Snyk στη βαθμολογία της δεν προστατεύει στην πράξη. Υπάρχει δημόσιος κώδικας εκμετάλλευσης και καταγεγραμμένη αυτοματοποιημένη χρήση, άρα για έναν εκτεθειμένο server η ευπάθεια πρέπει να αντιμετωπίζεται ως κρίσιμη.

Γιατί μια παλιά ευπάθεια επέστρεψε φέτος

Στις 20 Αυγούστου 2026 η Cisco Talos δημοσίευσε ανάλυση για την UAT-10147, μια κινεζόφωνη ομάδα με οικονομικά κίνητρα, που δραστηριοποιείται σε απάτη SEO και κλοπή δεδομένων^[3]. Σύμφωνα με την Talos:

• Η ομάδα στοχεύει web servers σε Windows και Linux. Χρησιμοποιεί το Metasploit για να κατασκευάζει exploits και να εγκαθιστά backdoors, και το CVE-2021-23758 είναι ρητά μία από τις ευπάθειες της εκστρατείας^[3].
• Το AjaxPro ήταν ένα από αρκετά σημεία εισόδου. Στη λίστα υπάρχουν επίσης ευπάθειες σε Zimbra (CVE-2022-27925), Telerik UI για ASP.NET AJAX (CVE-2019-18935) και Nacos (CVE-2021-29441, CVE-2021-29442), καθώς και γνωστά exploits ανύψωσης δικαιωμάτων σε Linux^[3].
• Η λίστα στόχων περιείχε περίπου 170.000 URLs. Οι περιοχές που αναφέρονται είναι Βραζιλία, Βολιβία, Κίνα, Καναδάς και Βιετνάμ, με στόχους σε δημόσιο, εκπαίδευση, ΜΜΕ, τεχνολογία και gaming^[3].
• Η ομάδα ενσωματώνει πράκτορες AI (agentic AI) στη δουλειά της μετά την παραβίαση: παραγωγή οδηγιών εκμετάλλευσης, scripts αυτοματοποίησης για εγκατάσταση implants και web shells, και λογική αντιμετώπισης προβλημάτων^[3].

Έξι ημέρες μετά, στις 26 Αυγούστου, η CISA πρόσθεσε την ευπάθεια στον κατάλογο Known Exploited Vulnerabilities^[2].

Εκτίμηση Audax: η Ελλάδα δεν αναφέρεται στους στόχους. Όμως η επιλογή στόχων εδώ γίνεται με αυτοματοποιημένη σάρωση λιστών URL, ανεξάρτητα από τη χώρα. Ό,τι απαντά στο Internet με ευάλωτο AjaxPro είναι υποψήφιος στόχος, και τα εργαλεία AI μειώνουν ακόμη περισσότερο τον κόπο του επιτιθέμενου ανά στόχο.

Ποιες εκδόσεις είναι ευάλωτες

Εδώ υπάρχει μια παγίδα. Η βιβλιοθήκη κυκλοφόρησε με δύο διαφορετικά ονόματα πακέτου στο NuGet, και μόνο το νεότερο πήρε διόρθωση^[4][5][6][7].

Η διόρθωση του Οκτωβρίου 2021 πρόσθεσε στο web.config την ενότητα jsonDeserializationCustomTypes, με λίστες allow και deny για τους τύπους που επιτρέπεται να δημιουργηθούν^[4]. Αν η ενότητα οριστεί με default="allow", επιτρέπεται κάθε τύπος εκτός από όσους μπουν ρητά στη λίστα deny. Μια τέτοια ρύθμιση, που κάποιος μπορεί να έβαλε για να «δουλέψει» η εφαρμογή, ξανανοίγει ουσιαστικά τον κίνδυνο.

Στον δημόσιο κώδικα του έργου υπάρχει και νεότερη αλλαγή στον χειρισμό τύπων, από τον Μάιο του 2026, που δεν έχει κυκλοφορήσει ακόμη ως πακέτο NuGet. Η τελευταία δημοσιευμένη έκδοση παραμένει η 24.10.10.1.

Εκτίμηση Audax: αν βρείτε το πακέτο AjaxPro.2, η ενημέρωση δεν γίνεται με ένα απλό update. Χρειάζεται μετάβαση στο AjaxNetProfessional, έλεγχος ότι η εφαρμογή λειτουργεί με αυστηρή λίστα επιτρεπόμενων τύπων, και επανέλεγχος. Για εφαρμογές που κανείς πλέον δεν συντηρεί, η ρεαλιστική λύση είναι η απόσυρση ή η αντικατάσταση. Αυτό συστήνει και η CISA όταν δεν υπάρχουν διαθέσιμα μέτρα.

Πώς θα καταλάβετε αν το έχετε

Το AjaxPro σπάνια εμφανίζεται σε έναν κατάλογο λογισμικού. Συνήθως είναι ένα DLL μέσα στον φάκελο μιας εφαρμογής. Ψάξτε στους δικούς σας servers και στον κώδικά σας:

• Αρχεία AjaxPro.2.dll ή AjaxPro.dll στους φακέλους bin των εφαρμογών IIS.
• Αναφορές στο AjaxPro μέσα σε web.config, συνήθως ως handler για τη διαδρομή ajaxpro/*.ashx.
• Αναφορές στα πακέτα AjaxPro.2 ή AjaxNetProfessional σε packages.config, αρχεία .csproj ή στο αποθετήριο κώδικα.
• Εφαρμογές που παρέδωσαν εξωτερικοί συνεργάτες. Ζητήστε τους ρητά τη λίστα των βιβλιοθηκών που χρησιμοποίησαν.

Αν το βρείτε σε σύστημα που είναι ή ήταν προσβάσιμο από το Internet, ελέγξτε και για ίχνη παραβίασης. Γενικά σημάδια εκμετάλλευσης αποσειριοποίησης σε IIS είναι:

• Αιτήματα POST προς διαδρομές /ajaxpro/ με ασυνήθιστο περιεχόμενο ή από άγνωστες διευθύνσεις, και σφάλματα αποσειριοποίησης στα logs της εφαρμογής.
• Νέες διεργασίες που ξεκινούν από τη διεργασία του IIS (w3wp.exe), για παράδειγμα γραμμή εντολών ή PowerShell.

Για τη συγκεκριμένη ομάδα, η Talos περιγράφει επιπλέον^[3]:

• Κακόβουλα modules IIS της οικογένειας BadIIS, που χρησιμοποιούνται για απάτη SEO.
• Web shells σε φακέλους εφαρμογών, και σε Linux servers πρόσθετα backdoors.
• Λήψη αρχείων με certutil, εργαλεία ανύψωσης δικαιωμάτων όπως το EfsPotato, και εξαιρέσεις φακέλων στο Windows Defender μέσω PowerShell.
• Scheduled tasks με παραπλανητικό όνομα «Google Chrome Start».
• Νέους τοπικούς λογαριασμούς που προστέθηκαν στις ομάδες Administrators και Remote Desktop Users.
• Υπογραφές Snort (SID 1:66696 και 1:66697) και ClamAV για τη συγκεκριμένη δραστηριότητα, καθώς και δείκτες παραβίασης (IOCs) στο αποθετήριο της Talos.

Τι να κάνετε από σήμερα

1. Απογραφή: εντοπίστε κάθε εφαρμογή με AjaxPro και σημειώστε ποιο πακέτο και ποια έκδοση έχει. Ξεκινήστε από ό,τι είναι προσβάσιμο από το Internet.
2. Άμεσος περιορισμός: αν βρείτε ευάλωτη έκδοση σε εκτεθειμένο σύστημα, περιορίστε αμέσως την πρόσβαση με VPN, λίστα επιτρεπόμενων διευθύνσεων ή κανόνα WAF για τις διαδρομές του AjaxPro. Εκεί που αυτό είναι αδύνατο, βγάλτε την εφαρμογή εκτός Internet μέχρι τη διόρθωση.
3. Διόρθωση: μεταβείτε στο AjaxNetProfessional στην τελευταία έκδοση, με αυστηρή λίστα επιτρεπόμενων τύπων. Ελέγξτε ότι η ρύθμιση δεν έχει οριστεί σε «allow».
4. Απόσυρση: για εφαρμογές χωρίς συντήρηση, βάλτε ημερομηνία αντικατάστασης. Ο περιορισμός πρόσβασης είναι προσωρινή λύση.
5. Αναζήτηση ιχνών: ελέγξτε τα logs όσο πιο πίσω υπάρχουν, με τα ίχνη της προηγούμενης ενότητας^[3].
6. Αν βρεθεί παραβίαση: αλλάξτε όλα τα μυστικά της εφαρμογής, δηλαδή κωδικούς βάσεων δεδομένων, κλειδιά API και το ASP.NET machineKey, αφού η Talos καταγράφει και στόχευση του ViewState^[3]. Η Talos καταγράφει επίσης ανύψωση από τον λογαριασμό του IIS σε SYSTEM μέσω του δικαιώματος SeImpersonatePrivilege, οπότε ελέγξτε και για ίχνη εργαλείων της οικογένειας Potato.
7. Επανέλεγχος: επιβεβαιώστε με εξωτερικό έλεγχο ότι η διαδρομή έκλεισε πραγματικά, και ότι δεν υπάρχει άλλο αντίγραφο της ίδιας εφαρμογής σε δοκιμαστικό ή ξεχασμένο server.

Εκτίμηση Audax: η ίδια ομάδα εκμεταλλεύτηκε και το Telerik UI για ASP.NET AJAX. Ένας οργανισμός με παλιές εφαρμογές ASP.NET WebForms συνήθως έχει περισσότερα από ένα τέτοια κληρονομημένα components. Η απογραφή αξίζει να καλύψει όλες τις βιβλιοθήκες τρίτων, και το AjaxPro είναι απλώς η αφορμή.

Το πλαίσιο συμμόρφωσης

Για φορείς που εμπίπτουν στην NIS2 (στην Ελλάδα, ν. 5160/2024), ο χειρισμός ευπαθειών είναι ρητό μέρος των μέτρων διαχείρισης κινδύνου. Μια ευπάθεια που βρίσκεται στον κατάλογο KEV, σε σύστημα εκτεθειμένο στο Internet, είναι από τα πρώτα σημεία που θα εξετάσει ένας ελεγκτής. Η τεκμηριωμένη απογραφή, η απόφαση διόρθωσης ή απόσυρσης και ο επανέλεγχος αποτελούν και την απόδειξη ότι το μέτρο εφαρμόστηκε.