SK-CERT Bezpečnostné varovanie V20230616-03

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

MOVEit Transfer – kritická bezpečnostná zraniteľnosť

Popis

Spoločnosť Progress vydala bezpečnostnú aktualizáciu na svoj produkt MOVEit transfer, ktorá opravuje kritickú bezpečnostnú zraniteľnosť. Kritická bezpečnostná zraniteľnosť spočíva v nedostatočnej implementácii bezpečnostných mechanizmov a umožňuje vzdialenému, neautentifikovanému útočníkovi prostredníctvom SQL injekcie vykonať škodlivý kód s následkom úplného narušenia dôvernosti, integrity a dostupnosti systému. Zraniteľnosti zatiaľ nebol pridelený identifikátor CVE. Jedná sa o v poradí tretiu odhalenú zraniteľnosť v MOVEit Transfer aplikácii od Mája 2023 (predošlým dvom zraniteľnostiam boli pridelené identifikátory CVE-2023-34362 a CVE-2023-35036).

Dátum prvého zverejnenia varovania

09.06.2023

CVE

–

IOC

–

Zasiahnuté systémy

MOVEit Transfer vo verzii staršej ako 2023.0.3 (15.0.3)  MOVEit Transfer vo verzii staršej ako 2022.1.7 (14.1.7)  MOVEit Transfer vo verzii staršej ako 2022.0.6 (14.0.6)  MOVEit Transfer vo verzii staršej ako 2021.1.6 (13.1.6)  MOVEit Transfer vo verzii staršej ako 2021.0.8 (13.0.8)  MOVEit Transfer vo verzii staršej ako 2020.1.10 (12.1.10)

Následky

Vykonanie škodlivého kódu a úplné narušenie dôvernosti, integrity a dostupnosti systému

Odporúčania

Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Po odstránení zraniteľností, ktoré mohli spôsobiť vzdialené vykonanie kódu, je dobrou praxou kontrola systému a zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč.

Zdroje

https://www.progress.com/security/moveit-transfer-and-moveit-cloud-vulnerability https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-15June2023

« Späť na zoznam