Move Over, MOVEit : un bug de progression critique infeste le logiciel WS_FTP

Pour la deuxième fois au cours des derniers mois, Progress Software demande aux équipes de sécurité de l'entreprise de tout abandonner et d'agir rapidement pour protéger leurs organisations contre les vulnérabilités critiques de son logiciel de transfert de fichiers – cette fois, le produit de transfert de fichiers WS_FTP utilisé par quelque 40 millions de personnes.

Le bug le plus grave permet l’exécution de code à distance (RCE) pré-authentifié sans aucune interaction de l’utilisateur. En outre, le groupe comprend également un bug dont la gravité est proche de la gravité maximale et six qui sont de gravité élevée ou moyenne. 

La nouvelle des nouvelles vulnérabilités arrive alors même que des milliers de clients Progress sont sous le choc d'une vulnérabilité zero-day dans sa technologie de transfert de fichiers MOVEit que l'entreprise a divulgué fin mai. Jusqu'à présent, plus de 2,100 organisations ont été victimes d'attaques exploitant cette faille, dont beaucoup par le Groupe de rançongiciels Cl0p. Les bugs récemment révélés pourraient être tout aussi dangereux : ils affectent toutes les versions prises en charge de WS_FTP, qui, comme MOVEit, est un logiciel d'entreprise que les organisations utilisent pour permettre des transferts de fichiers sécurisés entre des systèmes, des groupes et des individus. 

Dans une déclaration envoyée par courrier électronique à Dark Reading, un porte-parole de Progress a déclaré que la société n'avait jusqu'à présent vu aucun signe d'activité d'exploitation ciblant l'une des failles. 

"Nous avons divulgué ces vulnérabilités de manière responsable en collaboration avec les chercheurs d'Assetnote", indique le communiqué. « Actuellement, nous n’avons vu aucune indication que ces vulnérabilités aient été exploitées. Nous avons publié un correctif et avons encouragé nos clients à effectuer une mise à niveau vers la version corrigée de notre logiciel.

Corrigez WS_FTP maintenant

Progress a corrigé les vulnérabilités et publié des correctifs spécifiques à la version pour tous les produits concernés. L'entreprise exhorte ses clients à mettre à jour immédiatement ou à appliquer les mesures d'atténuation recommandées ; Progress souhaite que les organisations qui utilisent des versions non prises en charge de WS_FTP mettent également à niveau vers une version prise en charge et corrigée dès que possible.

"La mise à niveau vers une version corrigée, à l'aide du programme d'installation complet, est le seul moyen de résoudre ce problème", a déclaré Progress. "Il y aura une panne du système pendant l'exécution de la mise à niveau."

Plus précisément, les vulnérabilités divulguées par Progress cette semaine sont présentes dans le module de transfert ad hoc du serveur WS_FTP et dans l'interface du gestionnaire de serveur WS_FTP.

La vulnérabilité critique est « facilement exploitable »

La vulnérabilité de gravité maximale suivie comme CVE-2023-40044 affecte les versions du serveur WS_FTP antérieures à 8.7.4 et 8.8.2 et, comme mentionné, donne aux attaquants un moyen d'obtenir un RCE de pré-authentification sur les systèmes concernés. Progress a décrit le problème comme une vulnérabilité de sérialisation .NET – un type de bug courant où une application traite les charges utiles des demandes de manière peu sûre. De telles failles peuvent permettre des attaques par déni de service, des fuites d'informations et du RCE. Progress a crédité deux chercheurs d'Assetnote d'avoir découvert les failles et de les avoir signalées à l'entreprise.

Caitlin Condon, responsable de la recherche sur les vulnérabilités chez Rapid7, affirme que l'équipe de recherche de son entreprise a pu identifier la vulnérabilité et tester son exploitabilité. « [Rapid 7 has] vérifié qu'il est facilement exploitable avec une requête HTTPS POST – et certaines données spécifiques en plusieurs parties – vers n'importe quel URI sous un chemin spécifique. Aucune authentification n'est requise et aucune interaction de l'utilisateur n'est requise », explique Condon.

Dans un article publié sur X (anciennement Twitter) le 28 septembre, l'un des chercheurs d'Assetnote a annoncé les plans de l'entreprise pour publier un article complet sur les problèmes qu'ils ont découverts dans les 30 jours – ou si les détails de l'exploit sont rendus publics avant cette date.

Pendant ce temps, l'autre bug critique est une vulnérabilité de traversée de répertoire, CVE-2023-42657, dans les versions du serveur WS_FTP antérieures à 8.7.4 et 8.8.2. 

"Un attaquant pourrait exploiter cette vulnérabilité pour effectuer des opérations sur des fichiers (supprimer, renommer, rmdir, mkdir) sur des fichiers et des dossiers en dehors de leur chemin de dossier WS_FTP autorisé", a prévenu Progress dans son avis. "Les attaquants pourraient également échapper au contexte de la structure de fichiers du serveur WS_FTP et effectuer le même niveau d'opérations (supprimer, renommer, rmdir, mkdir) sur les emplacements de fichiers et de dossiers du système d'exploitation sous-jacent." Le bug a un score CVSS de 9.9 sur 10, ce qui en fait une vulnérabilité de gravité proche du maximum. Failles de traversée de répertoire, ou path traversal, sont des vulnérabilités qui permettent essentiellement aux attaquants d'accéder à des fichiers et des répertoires non autorisés.

Comment découvrir le transfert de fichiers des bugs en cours

Les autres problèmes incluent deux bogues de grande gravité (CVE-2023-40045 ainsi que CVE-2023-40047), qui sont des vulnérabilités de cross-site scripting (XSS) qui permettent l'exécution de JavaScript malveillant. Les failles de sécurité moyennes incluent CVE-2023-40048, un bug de falsification de requêtes intersites (CSRF) ; et CVE-2023-40049, une question de divulgation d’informations, entre autres. 

« WF_FTP a une riche histoire et est généralement utilisé par les informaticiens et les développeurs », explique Timothy Morris, conseiller en chef en sécurité chez Tanium, ajoutant que les organisations qui maintiennent un bon inventaire de logiciels et/ou disposent de programmes pour surveiller l'utilisation des logiciels dans leur environnement devraient avoir un Il est relativement facile de rechercher et de mettre à jour les instances vulnérables de WS_FTP.

Il ajoute : « De plus, étant donné que les versions en cours d'exécution de WS_FTP ont généralement des ports entrants ouverts pour accepter les demandes de connexion, il ne serait pas difficile de le repérer avec les outils de surveillance du réseau. »

«Je commencerais par des outils d'inventaire logiciel pour analyser l'environnement (application installée, service en cours d'exécution), puis j'utiliserais les recherches de fichiers comme méthode secondaire pour rechercher et trouver des versions de WS_FTP, au repos», dit-il.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
• La source: https://www.darkreading.com/cloud/moveit-progress-critical-bug-ws_ftp-software