Aktywnie wykorzystywana w atakach
Fortra GoAnywhere MFT Remote Code Execution Vulnerability
Fortra - GoAnywhere MFT · Figuruje w katalogu CISA KEV od 2023-02-10. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2023-0669
WysokieCVSS 7.2KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Fortra GoAnywhere MFT ma podatność na wstrzyknięcie komend przed uwierzytelnieniem w servlecie License Response z powodu deserializacji dowolnego obiektu kontrolowanego przez atakującego. Problem został naprawiony w wersji 7.1.2.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne komendy na serwerze, co może prowadzić do pełnej kompromitacji systemu i dostępu do przesyłanych plików.
Rekomendacja
Zaktualizuj GoAnywhere MFT do wersji 7.1.2 lub nowszej. Ogranicz dostęp do serwera z zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
Fortra (formerly, HelpSystems) GoAnywhere MFT suffers from a pre-authentication command injection vulnerability in the License Response Servlet due to deserializing an arbitrary attacker-controlled object. This issue was patched in version 7.1.2.