CVE-2025-8148
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Nieprawidłowa kontrola dostępu w usłudze SFTP w Fortra's GoAnywhere MFT przed wersją 7.9.0 umożliwia użytkownikom webowym z aliasem uwierzytelniania i ważnym kluczem SSH, ale ograniczonym do uwierzytelniania hasłem dla SFTP, zalogowanie się przy użyciu ich klucza SSH.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do systemu przez użytkowników, którzy nie powinni mieć możliwości logowania za pomocą klucza SSH, co może naruszyć bezpieczeństwo transferu plików.
Rekomendacja
Zaleca się aktualizację GoAnywhere MFT do wersji 7.9.0 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w GoAnywhere MFT
Zobacz wszystkie- CVE-2025-10035KrytyczneAktywnie exploitowane
Podatność deserializacji w komponencie License Servlet w GoAnywhere MFT firmy Fortra umożliwia osobie z prawidłowo sfałszowanym podpisem odpowiedzi licencyjnej deserializację dowolnego obiektu kontrolowanego przez atakującego, co może prowadzić do wstrzyknięcia poleceń.
- CVE-2023-0669WysokieAktywnie exploitowane
Fortra GoAnywhere MFT ma podatność na wstrzyknięcie komend przed uwierzytelnieniem w servlecie License Response z powodu deserializacji dowolnego obiektu kontrolowanego przez atakującego. Problem został naprawiony w wersji 7.1.2.
- CVE-2026-15913Wysokie
Podatność typu path traversal w punkcie końcowym /attachRemoteFiles w Fortra GoAnywhere MFT przed wersją 7.10.2 pozwala użytkownikom Web z uprawnieniami Secure Folders i Secure Mail na opuszczenie katalogu domowego i odczyt dowolnych plików.
- CVE-2025-1241Średnie
W Fortra GoAnywhere MFT przed wersją 7.10.0 oraz GoAnywhere Agents przed wersją 2.2.0 zaszyfrowane wartości używają statycznego wektora inicjującego (IV), co pozwala użytkownikom z uprawnieniami administratora na brute-force odszyfrowanie danych.
Oryginalny opis (angielski, źródło NVD)
An Improper Access Control in the SFTP service in Fortra's GoAnywhere MFT prior to version 7.9.0 allows Web Users with an Authentication Alias and a valid SSH key but limited to Password authentication for SFTP to still login using their SSH key.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS