CVE-2023-34362
Progress MOVEit Transfer SQL Injection Vulnerability
Beschreibung
CVE-2023-34362 ist eine kritische SQL-Injection-Schwachstelle in Progress MOVEit Transfer, einer weit verbreiteten Managed-File-Transfer-Lösung. Diese SQL-Injection-Schwachstelle in der MOVEit-Transfer-Webanwendung ermöglicht es einem nicht authentifizierten Angreifer, unbefugten Zugriff auf die Anwendungsdatenbank zu erlangen, die Datenbankstruktur auszulesen, sensible Inhalte zu extrahieren und SQL-Anweisungen auszuführen, die Daten verändern oder löschen. Die Schwachstelle betrifft MOVEit Transfer Versionen vor 2021.0.6, 2021.1.4, 2022.0.4, 2022.1.5 und 2023.0.1 sowie alle älteren nicht mehr unterstützten Versionen einschließlich der Releases 2020.0 und 2019.x. CVE-2023-34362 wurde im Mai und Juni 2023 aktiv in freier Wildbahn ausgenutzt, die CISA hat die Schwachstelle in den KEV-Katalog aufgenommen, und es wurde bestätigt, dass sie in Ransomware-Kampagnen verwendet wird. Mit einem EPSS-Score von 94,3 % (99. Perzentil) stellt diese MOVEit-Transfer-SQL-Injection-Schwachstelle eine der am aktivsten ausgenutzten Sicherheitslücken dar und erfordert sofortiges Handeln.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| progress | moveit cloud | < 14.0.5.45; >= 14.1.0.0, < 14.1.6.97; >= 15.0.0.0, < 15.0.2.39 |
| progress | moveit transfer | < 2021.0.7; >= 2021.1.0, < 2021.1.5; >= 2022.0.0, < 2022.0.5; >= 2022.1.0, < 2022.1.6; >= 2023.0.0, < 2023.0.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172883/MOVEit-Transfer-SQL-Injection-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/173110/MOVEit-SQL-Injection.html(Exploit, Third Party Advisory, VDB Entry)
- https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023(Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2023-34362(US Government Resource)
Schwachstellentyp
CWE-89: Unsachgemäße Neutralisierung von Spezialelementen in einem SQL-Befehl (SQL Injection)
Die SQL-Injection-Schwachstelle in MOVEit Transfer entsteht, weil die Webanwendung Sonderzeichen in Benutzereingaben nicht ordnungsgemäß neutralisiert, bevor sie in SQL-Abfragen eingebunden werden. Im Kontext von CVE-2023-34362 kann ein Angreifer bösartige SQL-Anweisungen über die MOVEit-Transfer-Weboberfläche mittels HTTP oder HTTPS einschleusen und so Datenbankabfragen manipulieren, um Daten über MySQL-, Microsoft-SQL-Server- oder Azure-SQL-Datenbank-Backends hinweg auszulesen, zu verändern oder zu löschen.
Mehr erfahren: CWE-89 — Unsachgemäße Neutralisierung von Spezialelementen in einem SQL-Befehl
Auswirkungsanalyse
CVE-2023-34362 wird mit einem CVSS v3.1 Score von 9,8 (Critical) bewertet, was die höchste Schwereeinstufung für diese MOVEit-Transfer-SQL-Injection-Schwachstelle darstellt. Die Schwachstelle ist ohne physischen Zugang über HTTP oder HTTPS ausnutzbar, erfordert keine Authentifizierung und keine Benutzerinteraktion und ist mit geringer Komplexität ausnutzbar. Vertraulichkeit (Hoch): Ein Angreifer kann sensible Daten aus der MOVEit-Transfer-Datenbank extrahieren, darunter Dateiübertragungsprotokolle, Benutzeranmeldedaten, Organisationsdaten und alle im Managed-File-Transfer-System gespeicherten Dateien. Integrität (Hoch): Die SQL Injection ermöglicht die Ausführung von Anweisungen, die Datenbankelemente verändern oder löschen, sodass ein Angreifer Übertragungsdatensätze manipulieren, Benutzerkonten modifizieren und Audit-Logs fälschen kann. Verfügbarkeit (Hoch): Destruktive SQL-Operationen können kritische Datenbanktabellen beschädigen oder löschen und den MOVEit-Transfer-Dienst funktionsunfähig machen. Mit einem EPSS-Score von 94,3 % im 99. Perzentil, der eine nahezu sichere Ausnutzungsaktivität anzeigt, und der bestätigten Verwendung in Ransomware-Kampagnen stellt diese Schwachstelle ein extremes Risiko für jede Organisation dar, die ungepatchte MOVEit-Transfer-Instanzen betreibt.
Exploit-Reifegrad
Öffentlicher Exploit-Code ist verfügbar für CVE-2023-34362 über Packet Storm Security, und zusätzliche Proof-of-Concept-Details sind bei Packet Storm Security (RCE-Variante) verfügbar. Die CISA hat die aktive Ausnutzung in freier Wildbahn bestätigt, indem sie CVE-2023-34362 mit einer Behebungsfrist bis zum 23. Juni 2023 in den KEV-Katalog aufgenommen hat, und diese Schwachstelle wurde in Ransomware-Angriffen verwendet, insbesondere in Massenausnutzungskampagnen im Mai und Juni 2023. Der EPSS-Score von 94,3 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivität hin und macht dies zu einer der am aktivsten angegriffenen Schwachstellen. Organisationen, die eine beliebige Version von MOVEit Transfer betreiben, sollten dies als Notfall behandeln, der sofortiges Patchen oder die Außerbetriebnahme des Dienstes erfordert.
Behebung
-
Progress-Patches sofort einspielen gemäß CISA-Empfehlung: MOVEit Transfer auf Version 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) oder 2023.0.1 (15.0.1) oder höher aktualisieren. Organisationen, die Version 2020.0, 2019.x oder ein anderes End-of-Life-Release betreiben, müssen sofort auf eine unterstützte Version upgraden, da für diese Versionen keine Patches verfügbar sind.
-
HTTP- und HTTPS-Verkehr zur MOVEit-Transfer-Umgebung deaktivieren als Sofortmaßnahme, falls das Patchen nicht umgehend abgeschlossen werden kann. Dies verhindert die Ausnutzung über die Webanwendung, während SFTP- und FTP/s-Übertragungsfunktionalität erhalten bleibt. Eingehenden Verkehr auf den Ports 80 und 443 am MOVEit-Transfer-Server blockieren.
-
Web-Application-Firewall-Regeln (WAF) implementieren, um SQL-Injection-Versuche gegen MOVEit Transfer zu erkennen und zu blockieren. Erkennungsregeln für parametrisierte Abfragen und Eingabevalidierungsfilter speziell für die MOVEit-Transfer-Webinterface-Endpunkte einsetzen. Den Zugriff auf die MOVEit-Transfer-Webanwendung auf bekannte, vertrauenswürdige IP-Adressen beschränken.
-
Eine gründliche forensische Untersuchung durchführen auf allen MOVEit-Transfer-Instanzen. IIS-Logs auf verdächtige HTTP-Anfragen prüfen, die Datenbank auf nicht autorisierte Änderungen untersuchen, nach neuen oder modifizierten Benutzerkonten suchen und auf Hinweise einer Datenexfiltration achten. Angesichts der Ransomware-Assoziation auf Indikatoren einer Ransomware-Bereitstellung oder lateralen Bewegung vom MOVEit-Server prüfen.
-
Prepared Statements und parametrisierte Abfragen als langfristige Verteidigungsstrategie über alle datenbankinteragierenden Komponenten hinweg implementieren. Least-Privilege-Datenbankzugriff für das MOVEit-Transfer-Anwendungskonto durchsetzen und unnötige Schreib- oder Administrationsberechtigungen entfernen. Kontinuierliches Monitoring und Alerting für SQL-Injection-Muster im Webanwendungsverkehr einrichten.
Technische Details
CVE-2023-34362 ist eine SQL-Injection-Schwachstelle (CWE-89) in der Progress MOVEit Transfer Webanwendung. Die Schwachstelle entsteht, weil Benutzereingaben ohne ordnungsgemäße Bereinigung oder Parametrisierung in SQL-Abfragen eingebunden werden, sodass ein Angreifer beliebige SQL-Anweisungen über HTTP- oder HTTPS-Anfragen einschleusen kann. CVSS-Vektor (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): Der Angriff ist über das Netzwerk mit geringer Komplexität zugänglich, erfordert keine Authentifizierung oder Benutzerinteraktion und kompromittiert Vertraulichkeit, Integrität und Verfügbarkeit vollständig. Datenbank-Backend-Kompatibilität: Die SQL Injection ist gegen mehrere Datenbank-Backends ausnutzbar, darunter MySQL, Microsoft SQL Server und Azure SQL, wobei die Auswirkung je nach spezifischer Datenbank-Engine und deren Berechtigungskonfiguration variiert. Ausnutzungsverlauf: Die Schwachstelle wurde im Mai und Juni 2023 über sowohl HTTP- als auch HTTPS-Protokolle aktiv in freier Wildbahn ausgenutzt, wobei Angreifer die SQL Injection nutzten, um auf die MOVEit-Transfer-Datenbank zuzugreifen, sensible Dateiübertragungsdaten zu extrahieren und in einigen Fällen Remote Code Execution zu erreichen, indem sie die SQL Injection mit zusätzlichen Techniken zur Ausführung von Betriebssystembefehlen auf dem zugrundeliegenden Server verketteten.
Häufig gestellte Fragen
Wird CVE-2023-34362 aktiv ausgenutzt?
Ja, CVE-2023-34362 wird seit Mai 2023 aktiv und in großem Umfang in freier Wildbahn ausgenutzt. Die CISA hat die Schwachstelle mit einer Behebungsfrist bis zum 23. Juni 2023 in den KEV-Katalog aufgenommen, und sie wurde bestätigt in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,3 % (99. Perzentil) weist auf eine nahezu sichere Ausnutzungsaktivität hin und macht dies zu einer der am aktivsten angegriffenen Schwachstellen.
Welche Produkte sind von CVE-2023-34362 betroffen?
CVE-2023-34362 betrifft Progress MOVEit Transfer und MOVEit Cloud. Konkret sind alle Versionen vor 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) und 2023.0.1 (15.0.1) verwundbar. Alle älteren nicht mehr unterstützten Versionen, einschließlich der Releases 2020.0 und 2019.x, sind ebenfalls betroffen.
Wie behebe ich CVE-2023-34362?
Aktualisieren Sie MOVEit Transfer auf eine der gepatchten Versionen: 2021.0.6, 2021.1.4, 2022.0.4, 2022.1.5 oder 2023.0.1 oder höher. Falls sofortiges Patchen nicht möglich ist, deaktivieren Sie den HTTP- und HTTPS-Zugriff auf die MOVEit-Transfer-Umgebung als Sofortmaßnahme. Organisationen mit End-of-Life-Versionen müssen auf ein unterstütztes Release upgraden, da keine Patches verfügbar sind.
Wie schwerwiegend ist CVE-2023-34362?
CVE-2023-34362 wird mit einem CVSS v3.1 Score von 9,8 von 10 als Critical eingestuft. Sie liegt im 99. Perzentil der Ausnutzungswahrscheinlichkeit mit einem EPSS-Score von 94,3 % und wurde in Ransomware-Angriffen bestätigt. Die Kombination aus trivialer Ausnutzbarkeit, maximaler Auswirkung und weit verbreiteter aktiver Ausnutzung macht dies zu einer der schwerwiegendsten Schwachstellen des Jahres 2023.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.