Kritická zraniteľnosť v GoAnywhere MFT

V produkte GoAnywhere Managed File Transfer (MFT) od spoločnosti Fortra bola nájdená bezpečnostná chyba. Úspešné zneužitie chyby umožňuje neautentifikovanému útočníkovi vytvoriť nového administrátorského používateľa systému. Celkovo 96,4% inštancií používa zraniteľnú verziu systému.

Zraniteľné systémy:

Fortra’s GoAnywhere MFT staršie ako 7.4.1

Opis činnosti:

CVE-2024-0204 (CVSS skóre 9,8 )

Kritická zraniteľnosť CVE-2024-0204 sa nachádza v softvéri GoAnywhere Managed File Transfer (MFT). CVE-2024-0204 sa týka obídenia autentifikácie a umožňuje neautentifikovanému útočníkovi vytvoriť nového používateľa s administrátorskými oprávneniami. Chyba je výsledkom nesprávnej normalizácie cesty pri pokuse o vyžiadanie koncového bodu “/InitialAccountSetup.xhtml”. Na zraniteľnosť poukázali výskumníci Mohammed Eldeeb a Islam Elrfai zo spoločnosti Spark Engineering Consultants.

Závažnosť zraniteľnosti: Kritická

Možné škody:

  • Zvýšenie privilégií

Odporúčania:

Bezodkladná aktualizácia na verziu 7.4.1 alebo novšiu.

Používateľom, ktorí nemôžu aktualizovať svoj systém na verziu 7.4.1, odporúčame skontrolovať skupinu Admin Users v administratívnom portáli GoAnywhere, či v nej nebol nelegitímne vytvorený nový účet. Ako dočasné riešenie môžete v nekontajnerizovaných nasadeniach odstrániť súbor InitialAccountSetup.xhtml a reštartovať príslušné služby.

Odkazy: