Tehdit aktörleri, satıcının açıklamasından bir günden daha kısa bir süre sonra, devam eden hareket aktarımında kritik bir kimlik doğrulama baypası kusurundan yararlanmaya çalışıyorlar.
MOVEIT aktarımı, işletme ortakları ve SFTP, SCP ve HTTP protokollerini kullanan müşteriler arasında dosyaları güvenli bir şekilde aktarmak için işletme ortamlarında kullanılan yönetilen bir dosya aktarımı (MFT) çözümüdür.
Yeni güvenlik sorunu, CVE-2024-5806 tanımlayıcısını aldı ve saldırganların SSH üzerinden dosya aktarım işlemlerinden sorumlu olan Güvenli Dosya Aktarım Protokolü (SFTP) modülündeki kimlik doğrulama işlemini atlamasına izin veriyor.
Bu kusurdan yararlanan bir saldırgan, MoveIT transfer sunucusunda depolanan hassas verilere erişebilir, dosyaları yükleyebilir, indirir, silin veya değiştirebilir ve dosya aktarımlarına müdahale edebilir veya kurcalamayı kurcalama yapabilir.
Tehdit izleme platformu Shadowserver Foundation, ilerlemenin CVE-2024-5806'da bülten yayınladıktan kısa bir süre sonra sömürü girişimleri gördüğünü bildirdi, bu yüzden bilgisayar korsanları zaten savunmasız uç noktalara saldırıyor.
Censys'in ağ taramaları, çoğu ABD, İngiltere, Almanya, Kanada ve Hollanda'da bulunan şu anda yaklaşık 2.700 internete maruz kalan MoveIT transfer örneği olduğunu göstermektedir.
Bununla birlikte, güvenlik güncellemelerini uygulamayanların yüzdesi ve/veya üçüncü taraf kusur için önerilen hafifletmeler bilinmemektedir.
Shadowserver'ın sömürü girişimleri raporu, saldırgan güvenlik şirketi Watchtowr'ın güvenlik açığı, nasıl sömürülebileceği ve savunucuların sömürü belirtilerini kontrol etmek için günlüklerde ne araması gerektiği hakkında teknik ayrıntılar yayınladıktan sonra geliyor.
WatchTowr ayrıca, saldırganların sunucuyu saldırgan kontrollü yolları kullanarak kimlik doğrulamaya zorlamak için SSH genel anahtar yollarını nasıl manipüle edebileceğine dair teknik bir analiz sağlar ve potansiyel olarak net-ntlmv2 karmalarını ortaya çıkarır.
Ayrıca, CVE-2024-5806 için kavram kanıtı istismar kodu, WatchTowr ve güvenlik açığı araştırmacıları Sina Kheirkhah ve Aliz Hammond'dan halka açıktır.
Bu bilgiler ortaya çıktığında, saldırılar sonraki günlerde kesinlikle hız alacaktır, bu nedenle kuruluşların ilgili güvenlik güncellemelerini ve hafifletmelerini mümkün olan en kısa sürede uygulaması çok önemlidir.
Güvenlik Bülteni'nde açıklandığı gibi, CVE-2024-5806 aşağıdaki ürün sürümlerini etkiler:
Düzeltmeler, ilerleme topluluk portalında mevcut olan 2023.0.11, 2023.1.6 ve 2024.0.2'de MoveIT transferinde sunulmuştur.
Mevcut bakım sözleşmesi olmayan müşteriler, sorunu çözmek için derhal Yenileme Ekibi veya İlerleme Ortağı Temsilcisi ile iletişime geçmelidir.
Moveit Cloud müşterilerinin, yamalar zaten otomatik olarak dağıtıldığı için kritik kusuru azaltmak için herhangi bir işlem yapmasına gerek yoktur.
Kusurun kendisine ek olarak, Progress, CVE-2024-5806 ile ilişkili riskleri yükselten MoveIT transferinde kullanılan üçüncü taraf bir bileşende ayrı bir güvenlik açığı keşfettiğini not eder.
Üçüncü taraf satıcıdan gelen bir düzeltme sağlanana kadar bu kusuru azaltmak için, sistem yöneticilerine uzak masaüstü protokolünü (RDP) MOVEIT aktarım sunucularına erişim ve bilinen/güvenilir uç noktalara giden bağlantıları kısıtlamaları önerilir.
İlerleme ayrıca, Moveit Gateway 2024.0.0'ı etkileyen benzer bir kimlik doğrulama baypası sorunu olan CVE-2024-5805 hakkında bir güvenlik bültenini yayınladı.
Moveit, kurumsal ortamda yaygın olarak kullanılmaktadır ve bilgisayar korsanları, özellikle Clop fidye yazılımı geçen yıl binlerce organizasyonu ihlal etmek ve daha sonra zorlamak için sıfır gün kullandığından, ürün üzerinde mevcut olan güvenlik açıklarına ve istismarlarına göz kulak oluyor.
Kredi Kartlarını Çalmak İçin Yardımcı Facebook Prestashop Modülü
Solarwinds Serv-U yolu geçiş kusuru aktif olarak saldırılarda sömürüldü
Asus, 7 yönlendiricide kritik uzaktan kimlik doğrulama bypass'ı uyarıyor
Windows sıfır gün saldırılarına bağlı Black Basta Fidye Yazılımı çetesi
Netgear WNR614 Kusurları Cihazın Alınmasına İzin Ver, Düzeltme Mevcut
Kaynak: Bleeping Computer