速修复MOVEit Transfer 中的这个新0day！

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

MOVEit Transfer 应用所属公司 Progress Software 发布补丁，修复影响该文件传输解决方案的全新 SQL 漏洞，该漏洞可导致敏感信息被盗。

Progress Software 公司在2023年6月9日发布的一份安全公告中提到，“MOVEit Transfer web 应用中存在多个SQL 注入漏洞，可导致未认证攻击者获得对 MOVEit Transfer 数据库的越权访问权限。攻击者可向 MOVEit Transfer 应用高端点提交构造的 payload，导致 MOVEit 数据库内容遭修改和披露。”

这些缺陷影响 MOVEit Transfer 应用的所有版本，已在版本 2021.0.7 (13.0.7)、2021.1.5 (13.1.5)、2022.0.5 (14.0.5)、2022.1.6（14.1.6）和2023.0.2 (15.0.2) 中修复。所有 MOVEit Cloud 实例均已得到完全修复。

该漏洞是由网络安全公司 Huntress 在代码审计过程中发现并报告的。Progress Software 表示尚未发现该漏洞遭在野利用的迹象。

此前，MOVEit Transfer 漏洞 (CVE-2023-34362) 已被大量用于在目标系统上释放 web shell。该攻击活动被归咎于臭名昭著的 CI0p 勒索团伙，该团伙此前就发动数据盗取活动并在2020年12月起在多个管理文件传输平台中利用多个 0day。

企业调查和风险咨询公司 Kroll 也发现证据表明，该犯罪团伙从2021年7月起就一直利用CVE-2023-34362漏洞，并至少从2022年4月开始利用多种方法从受陷的 MOVEit 服务器中提取数据。2021年7月的多种恶意侦查和测试活动从本质上来讲被指使手动执行，之后才在2022年4月转为自动机制，探测多种组织机构并收集信息。

该公司表示，“CI0p 威胁组织机构在 GoAnywhere 事件发生时就完成了 MOVEit Transfer 利用，并选择先后而非并行执行这些攻击活动。这些研究成果说明重大规划和准备很可能推动大量利用事件。”

CI0p 勒索团伙向受影响企业发布勒索通告，督促它们在2023年6月14日之前与其取得联系，否则将在数据泄露网站上发布所盗信息。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

奇安信入选全球《软件成分分析全景图》代表厂商

MOVEit 文件传输软件0day被用于窃取数据

黑客早在2022年10月就利用0day 攻击 Barracuda ESG 设备

Barracuda 邮件网关遭 0day 漏洞利用攻击

苹果修复3个已遭利用的新 0day

原文链接

https://thehackernews.com/2023/06/new-critical-moveit-transfer-sql.html

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~