Aktywnie wykorzystywana w atakach
Progress MOVEit Transfer SQL Injection Vulnerability
Progress — MOVEit Transfer · Figuruje w katalogu CISA KEV od 2023-06-02. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2023-34362
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 — wyżej niż 100% wszystkich znanych CVE
Streszczenie
W aplikacji webowej MOVEit Transfer przed wersją 2021.0.6 zidentyfikowano podatność na wstrzykiwanie SQL, która może umożliwić nieautoryzowanemu atakującemu dostęp do bazy danych MOVEit Transfer. Atakujący może uzyskać informacje o strukturze i zawartości bazy danych oraz wykonywać polecenia SQL, które mogą zmieniać lub usuwać elementy bazy danych.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym dostęp do wrażliwych danych oraz możliwość ich modyfikacji lub usunięcia. Wykorzystanie tej luki w niezałatanych systemach może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaleca się jak najszybsze zaktualizowanie MOVEit Transfer do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, należy monitorować systemy pod kątem nieautoryzowanych prób dostępu oraz rozważyć wdrożenie dodatkowych zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
In Progress MOVEit Transfer before 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5), and 2023.0.1 (15.0.1), a SQL injection vulnerability has been found in the MOVEit Transfer web application that could allow an unauthenticated attacker to gain access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database, and execute SQL statements that alter or delete database elements. NOTE: this is exploited in the wild in May and June 2023; exploitation of unpatched systems can occur via HTTP or HTTPS. All versions (e.g., 2020.0 and 2019x) before the five explicitly mentioned versions are affected, including older unsupported versions.