CVE-2023-0669
Fortra GoAnywhere MFT Remote Code Execution Vulnerability
Beschreibung
CVE-2023-0669 ist eine schwerwiegende Sicherheitslücke in Fortra (ehemals HelpSystems) GoAnywhere MFT, einer weit verbreiteten Managed-File-Transfer-Lösung. Die Schwachstelle basiert auf einer unsicheren Deserialisierung im License Response Servlet, die es einem Angreifer ermöglicht, ohne vorherige Authentifizierung beliebige Befehle auf dem Server auszuführen. Durch das Einspeisen eines manipulierten Objekts kann ein Angreifer die vollständige Kontrolle über das betroffene GoAnywhere-MFT-System erlangen, einschließlich Zugriff auf vertrauliche Daten und Manipulation von Dateitransfers. Die CISA hat CVE-2023-0669 in ihren KEV-Katalog aufgenommen und bestätigt, dass diese Schwachstelle aktiv von Ransomware-Gruppen ausgenutzt wird. Mit einem EPSS-Score von 94,4 % gehört diese Sicherheitslücke zu den am häufigsten ausgenutzten Schwachstellen überhaupt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| fortra | goanywhere managed file transfer | < 7.1.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/171789/Goanywhere-Encryption-Helper-7.1.1-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- https://attackerkb.com/topics/mg883Nbeva/cve-2023-0669/rapid7-analysis(Exploit, Third Party Advisory)
- https://duo.com/decipher/fortra-patches-actively-exploited-zero-day-in-goanywhere-mft(Broken Link, Third Party Advisory)
- https://frycos.github.io/vulns4free/2023/02/06/goanywhere-forgotten.html(Exploit, Third Party Advisory)
- https://github.com/rapid7/metasploit-framework/pull/17607(Patch)
- https://infosec.exchange/@briankrebs/109795710941843934(Mitigation, Third Party Advisory)
- https://my.goanywhere.com/webclient/ViewSecurityAdvisories.xhtml#zerodayfeb1(Product)
- https://www.rapid7.com/blog/post/2023/02/03/exploitation-of-goanywhere-mft-zero-day-vulnerability/(Mitigation, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-0669(US Government Resource)
Schwachstellentyp
CWE-502: Deserialization of Untrusted Data
Bei CVE-2023-0669 akzeptiert das License Response Servlet von GoAnywhere MFT beliebige serialisierte Objekte ohne ausreichende Validierung. Diese unsichere Deserialisierung ermöglicht es Angreifern, speziell präparierte Objekte einzuschleusen, die bei der Verarbeitung zur Ausführung beliebigen Codes auf dem Server führen.
Mehr erfahren: CWE-502 — Deserialization of Untrusted Data
Auswirkungsanalyse
Die Schwachstelle CVE-2023-0669 in Fortra GoAnywhere MFT ist über das Netzwerk ausnutzbar, ohne dass ein physischer Zugang erforderlich ist, und weist eine geringe Angriffskomplexität auf. Obwohl der CVSS-Vektor hohe Privilegien (PR:H) angibt, zeigt die Praxis, dass die Schwachstelle im License Response Servlet ohne vorherige Authentifizierung erreichbar ist, was die tatsächliche Gefährdung erhöht. Vertraulichkeit (Hoch): Angreifer können auf sämtliche über GoAnywhere MFT übertragene Dateien und gespeicherte Zugangsdaten zugreifen. Integrität (Hoch): Durch die Codeausführung lassen sich Dateien manipulieren und Backdoors im System einrichten. Verfügbarkeit (Hoch): Das gesamte File-Transfer-System kann außer Betrieb gesetzt werden, was kritische Geschäftsprozesse unterbricht. Mit einem CVSS-Score von 7.2 (HIGH) und einem EPSS-Score von 94,4 % ist die Wahrscheinlichkeit einer aktiven Ausnutzung extrem hoch. Diese Schwachstelle wird nachweislich von Ransomware-Gruppen genutzt, was das Risiko einer Datenverschlüsselung und Erpressung erheblich steigert.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-0669 über mehrere Quellen, darunter Packet Storm Security, eine detaillierte Rapid7-Analyse auf AttackerKB sowie eine technische Beschreibung von frycos. Darüber hinaus existiert ein Metasploit-Modul, das die automatisierte Ausnutzung ermöglicht. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt und die Schwachstelle mit Ransomware-Kampagnen in Verbindung gebracht. Der EPSS-Score von 94,4 % (99,97. Perzentil) bestätigt eine nahezu sichere Ausnutzungsaktivität, und Organisationen sollten sofort handeln.
Behebung
- Sofortige Maßnahme gemäß CISA-Vorgabe: Wenden Sie die vom Hersteller bereitgestellten Gegenmaßnahmen an oder stellen Sie die Nutzung des Produkts ein, falls keine Patches verfügbar sind. Die CISA-Frist war der 3. März 2023.
- Upgrade auf GoAnywhere MFT Version 7.1.2 oder höher: Diese Version behebt die Deserialisierungs-Schwachstelle im License Response Servlet. Überprüfen Sie Ihre aktuelle Version und planen Sie das Update umgehend ein.
- Netzwerksegmentierung und Zugriffsbeschränkung: Beschränken Sie den Zugriff auf die GoAnywhere-MFT-Administrationsoberfläche und das License Response Servlet auf vertrauenswürdige IP-Bereiche. Blockieren Sie den öffentlichen Zugriff auf Port 8000 (Admin-Interface) mittels Firewall-Regeln.
- Überwachung und Kompromittierungsprüfung: Überprüfen Sie die GoAnywhere-MFT-Protokolle auf verdächtige Aktivitäten, insbesondere ungewöhnliche Anfragen an das License Response Servlet. Suchen Sie nach Indicators of Compromise (IoCs) wie unbekannten Benutzerkonten, unautorisierten Dateitransfers oder verdächtigen Prozessen auf dem Server.
- Langfristige Absicherung gegen Deserialisierungs-Angriffe: Implementieren Sie Eingabevalidierung und Integritätsprüfungen für serialisierte Daten. Erwägen Sie den Einsatz von Java-Deserialisierungs-Filtern (JEP 290), um die Klassen zu beschränken, die deserialisiert werden dürfen.
Technische Details
CVE-2023-0669 basiert auf einer unsicheren Deserialisierung (CWE-502) im License Response Servlet von Fortra GoAnywhere MFT. Die Schwachstelle entsteht, weil das Servlet ein vom Angreifer kontrolliertes serialisiertes Java-Objekt entgegennimmt und ohne ausreichende Validierung deserialisiert. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H zeigt eine netzwerkbasierte Ausnutzung mit geringer Komplexität an, wobei der PR:H-Wert im offiziellen Scoring auf die nominelle Administratoranforderung hinweist, die in der Praxis durch den Pre-Authentication-Angriffsvektor umgangen werden kann. Bei erfolgreicher Ausnutzung erlangt der Angreifer Codeausführung im Kontext des GoAnywhere-Dienstkontos, was die vollständige Kompromittierung des Systems einschließlich aller verwalteten Dateitransfers und gespeicherten Zugangsdaten ermöglicht. Die Schwachstelle wurde in Version 7.1.2 behoben, indem die Deserialisierung im License Response Servlet abgesichert wurde.
Häufig gestellte Fragen
Wird CVE-2023-0669 aktiv ausgenutzt?
Ja, CVE-2023-0669 wird aktiv ausgenutzt. Die CISA hat diese Schwachstelle in ihren KEV-Katalog (Known Exploited Vulnerabilities) aufgenommen und bestätigt die aktive Ausnutzung in freier Wildbahn. Die Schwachstelle wird nachweislich von Ransomware-Gruppen eingesetzt, und der EPSS-Score von 94,4 % unterstreicht die extrem hohe Ausnutzungswahrscheinlichkeit.
Welche Produkte sind von CVE-2023-0669 betroffen?
Betroffen ist Fortra (ehemals HelpSystems) GoAnywhere Managed File Transfer (MFT) in Versionen vor 7.1.2. Alle Installationen, die eine verwundbare Version des License Response Servlet einsetzen, sind potenziell gefährdet.
Wie behebe ich CVE-2023-0669?
Aktualisieren Sie GoAnywhere MFT auf Version 7.1.2 oder höher, um die Deserialisierungs-Schwachstelle zu schließen. Bis zum Update sollten Sie den Zugriff auf das License Response Servlet und die Administrationsoberfläche durch Netzwerksegmentierung und Firewall-Regeln einschränken. Überprüfen Sie zudem Ihre Systeme auf Anzeichen einer bereits erfolgten Kompromittierung.
Wie schwerwiegend ist CVE-2023-0669?
CVE-2023-0669 hat einen CVSS-Score von 7.2 (HIGH) nach CVSS v3.1. Der EPSS-Score von 94,4 % (99,97. Perzentil) zeigt, dass diese Schwachstelle zu den am häufigsten ausgenutzten weltweit gehört. Die bestätigte Nutzung durch Ransomware-Gruppen macht die Schwachstelle besonders geschäftskritisch.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.