CVE-2025-1241
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W Fortra GoAnywhere MFT przed wersją 7.10.0 oraz GoAnywhere Agents przed wersją 2.2.0 zaszyfrowane wartości używają statycznego wektora inicjującego (IV), co pozwala użytkownikom z uprawnieniami administratora na brute-force odszyfrowanie danych.
Ocena ryzyka
Administratorzy lub atakujący z uprawnieniami administracyjnymi mogą odszyfrować wrażliwe dane, co prowadzi do naruszenia poufności informacji.
Rekomendacja
Zaktualizuj GoAnywhere MFT do wersji 7.10.0 lub nowszej oraz GoAnywhere Agents do wersji 2.2.0 lub nowszej. Przeanalizuj, czy dane zaszyfrowane przy użyciu statycznego IV nie zostały ujawnione.
Inne podatności w GoAnywhere MFT
Zobacz wszystkie- CVE-2025-10035KrytyczneAktywnie exploitowane
Podatność deserializacji w komponencie License Servlet w GoAnywhere MFT firmy Fortra umożliwia osobie z prawidłowo sfałszowanym podpisem odpowiedzi licencyjnej deserializację dowolnego obiektu kontrolowanego przez atakującego, co może prowadzić do wstrzyknięcia poleceń.
- CVE-2023-0669WysokieAktywnie exploitowane
Fortra GoAnywhere MFT ma podatność na wstrzyknięcie komend przed uwierzytelnieniem w servlecie License Response z powodu deserializacji dowolnego obiektu kontrolowanego przez atakującego. Problem został naprawiony w wersji 7.1.2.
- CVE-2026-15913Wysokie
Podatność typu path traversal w punkcie końcowym /attachRemoteFiles w Fortra GoAnywhere MFT przed wersją 7.10.2 pozwala użytkownikom Web z uprawnieniami Secure Folders i Secure Mail na opuszczenie katalogu domowego i odczyt dowolnych plików.
- CVE-2025-8148Średnie
Nieprawidłowa kontrola dostępu w usłudze SFTP w Fortra's GoAnywhere MFT przed wersją 7.9.0 umożliwia użytkownikom webowym z aliasem uwierzytelniania i ważnym kluczem SSH, ale ograniczonym do uwierzytelniania hasłem dla SFTP, zalogowanie się przy użyciu ich klucza SSH.
Oryginalny opis (angielski, źródło NVD)
Encrypted values in Fortra's GoAnywhere MFT prior to version 7.10.0 and GoAnywhere Agents prior to version 2.2.0 utilize a static IV which allows admin users to brute-force decryption of data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS