Ett flertal rapporter varnar för en kritisk sårbarhet i MOVEit Transfer. [1,2,3]
Sårbarheten (CVE-2023-34362) innebär att en oautentiserad angripare kan utföra en SQL-injektion och få förhöjda rättigheter för att sedan kunna köra skadlig kod på systemet (RCE). När detta är gjort är det möjligt för angriparen att plantera en bakdörr på det drabbade systemet, ett s.k. webshell. På så sätt kan en angripare mer eller mindre ta kontroll över den drabbade maskinen (och potentiellt sett även andra maskiner på samma nätsegment).
Indikationer finns redan att denna sårbarhet utnyttjas aktivt mot organisationer i Sverige.
Rekommenderade åtgärder och säkerhetspatchar finns publicerade. [2]
Uppdatering 2023-06-08
CISA har publicerat en sammanställning med ytterligare tekniska detaljer, IOC:er och skyddsåtgärder. [4]
Uppdatering 2023-06-12
Progress rapporterar den 9 juni om ytterligare en sårbarhet i MOVEit Transfer (CVE-2023-35036). Patchen för CVE-2023-34362 har uppdaterats och inbegriper nu även fix för sårbarheten rapporterad den 9 juni. Verksamheter som tidigare, innan patchen uppdaterades, installerat patch för CVE-2023-34362 rekommenderas att snarast möjligt installera också patch för den senaste sårbarheten. [5]
Uppdatering 2023-06-13
Ett proof of concept för att utnyttja sårbarheten CVE-2023-34362 har nu tillgängliggjorts offentligt. [6]
Uppdatering 2023-06-16
Säkerhetsuppdateringar för en ny kritisk sårbarhet i MOVEit har publicerats den 15 juni. Den nya sårbarheten har inte tilldelats ett CVE-nummer ännu, men det rör sig om en sk. privilege escalation-sårbarhet vilket innebär att en angripare kan öka sina rättigheter och potentiell tillskansa sig obehörig åtkomst till it-miljön [7].
Progress har publicerat olika råd beroende på om man har säkerhetsuppdaterat de tidigare sårbarheterna eller inte [7].
Påverkade produkter
Sårbarheten påverkar följande produkter: [2]
MOVEit Transfer 2023.0.0
MOVEit Transfer 2022.1.x
MOVEit Transfer 2022.0.x
MOVEit Transfer 2021.1.x
MOVEit Transfer 2021.0.x
Rekommendationer
CERT-SE rekommenderar att uppdatera sårbara produkter där uppdatering finns tillgänglig. Där uppdatering inte finns tillgänglig ska systemet skiljas från internet för att förhindra otillbörlig åtkomst.
Källor
[1] https://www.rapid7.com/blog/post/2023/06/01/rapid7-observed-exploitation-of-critical-moveit-transfer-vulnerability/
[2] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
[3] https://www.bleepingcomputer.com/news/security/new-moveit-transfer-zero-day-mass-exploited-in-data-theft-attacks/
[4] https://www.cisa.gov/sites/default/files/2023-06/aa23-158a-stopransomware-cl0p-ransomware-gang-exploits-moveit-vulnerability_5.pdf
[5] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023
[6] https://www.bleepingcomputer.com/news/security/exploit-released-for-moveit-rce-bug-used-in-data-theft-attacks/
[7] https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-15June2023
Källa: CERT.se