Aktywnie wykorzystywana w atakach
Fortra GoAnywhere MFT Deserialization of Untrusted Data Vulnerability
Fortra - GoAnywhere MFT · Figuruje w katalogu CISA KEV od 2025-09-29. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2025-10035
KrytyczneCVSS 10.0KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 100 - wyżej niż 100% wszystkich znanych CVE
Streszczenie
Podatność deserializacji w komponencie License Servlet w GoAnywhere MFT firmy Fortra umożliwia osobie z prawidłowo sfałszowanym podpisem odpowiedzi licencyjnej deserializację dowolnego obiektu kontrolowanego przez atakującego, co może prowadzić do wstrzyknięcia poleceń.
Ocena ryzyka
Atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnej kompromitacji systemu i danych.
Rekomendacja
Zastosuj poprawki dostarczone przez Fortra. Ogranicz dostęp do komponentu License Servlet i monitoruj nietypowe żądania.
Oryginalny opis (angielski, źródło NVD)
A deserialization vulnerability in the License Servlet of Fortra's GoAnywhere MFT allows an actor with a validly forged license response signature to deserialize an arbitrary actor-controlled object, possibly leading to command injection.