0
0
Mais uma vulnerabilidade crítica de injeção de SQL foi divulgada e corrigida no software MOVEit Transfer da Progress Software – a quarta falha do tipo revelada no espaço de um mês.
O bug de segurança (CVE-2023-36934) é distinto da antiga falha de dia zero que está sendo explorada com sucesso retumbante pela gangue de ransomware Cl0p. Mas, como esse bug, ele pode permitir que ciberatacantes não autenticados acessem bancos de dados do MOVEit Transfer e, a partir daí, executem malware, manipulem arquivos ou exfiltrem informações.
“Um invasor pode enviar uma carga criada para um ponto de extremidade do aplicativo MOVEit Transfer, o que pode resultar em modificação e divulgação do conteúdo do banco de dados MOVEit”, de acordo com o comunicado do Progress sobre o bug.
A falha não foi explorada na natureza até agora, de acordo com o comunicado – mas dada sua gravidade, os usuários são instados a corrigi-la o mais rápido possível, juntamente com duas vulnerabilidades de alta gravidade (CVE-2023-36932 e CVE-2023-36933) divulgadas ao mesmo tempo.
Os bugs afetam as versões 12.1.10 e anteriores do MOVEit Transfer, 13.0.8 e anteriores, 13.1.6 e anteriores, 14.0.6 e anteriores, 14.1.7 e anteriores e 15.0.3 e anteriores.
As outras vulnerabilidades SQL reveladas desde o início de junho são CVE-2023-35708 e CVE-2023-35036, bem como CVE-2023-34362, que é o alvo do Cl0p e foi descoberto no fim de semana do Memorial Day.
Por falar na campanha Cl0p, a gangue de extorsão está a galope, fazendo 200+ vítimas até agora, incluindo agências governamentais. O raio de explosão da campanha foi ampliado por fornecedores terceirizados comprometidos expondo seus clientes downstream.
A Progress disse esta semana que planeja lançar atualizações de produtos MOVEit a cada dois meses a partir de agora.
FONTE: DARK READING