MOVEit Mayhem 3: “ปิดการใช้งาน HTTP และ HTTPS ทันที”

MOVEit ทำร้ายร่างกายมากขึ้น!

“ปิดการรับส่งข้อมูล HTTP และ HTTPS ไปยัง MOVEit Transfer” Progress Software กล่าว และระยะเวลาในการดำเนินการคือ "โดยทันที", ไม่ ถ้า ไม่มี แต่

Progress Software เป็นผู้ผลิตซอฟต์แวร์แชร์ไฟล์ MOVEit โอนและเจ้าภาพ MOVEit คลาวด์ ทางเลือกที่อ้างอิงจากมัน และนี่คือคำเตือนครั้งที่สามในรอบสามสัปดาห์เกี่ยวกับช่องโหว่ที่แฮ็กได้ในผลิตภัณฑ์ของมัน

ณ สิ้นเดือนพฤษภาคม 2023 อาชญากรขู่กรรโชกทางไซเบอร์ที่เกี่ยวข้องกับแก๊ง Clop ransomware ถูกพบว่าใช้ช่องโหว่แบบ zero-day เพื่อเจาะเข้าไปในเซิร์ฟเวอร์ที่รันเว็บฟรอนท์เอนด์ของผลิตภัณฑ์ MOVEit

การส่งคำสั่งฐานข้อมูล SQL ที่มีรูปแบบไม่ถูกต้องโดยจงใจไปยังเซิร์ฟเวอร์ MOVEit Tranfer ผ่านทางเว็บพอร์ทัล ทำให้อาชญากรสามารถเข้าถึงตารางฐานข้อมูลได้โดยไม่ต้องใช้รหัสผ่าน และติดตั้งมัลแวร์ที่อนุญาตให้พวกเขากลับไปยังเซิร์ฟเวอร์ที่ถูกบุกรุกในภายหลัง แม้ว่าพวกเขาจะได้รับการแก้ไขใน ระหว่างกาล

We อธิบาย วิธีแพตช์และสิ่งที่คุณมองหาได้ในกรณีที่มิจฉาชีพจ่ายเงินให้คุณแล้ว ย้อนกลับไปเมื่อต้นเดือนมิถุนายน 2023:

MOVEit การหาประโยชน์แบบ zero-day ที่ใช้โดยแก๊งเจาะข้อมูล: วิธีการ สาเหตุ และสิ่งที่ต้องทำ...

เห็นได้ชัดว่าผู้โจมตีขโมยข้อมูลบริษัทที่ได้รับรางวัล เช่น รายละเอียดบัญชีเงินเดือนพนักงาน และเรียกร้องเงินแบล็กเมล์เป็นการตอบแทนสำหรับการ "ลบ" ข้อมูลที่ถูกขโมย

คำเตือนครั้งที่สอง

เมื่อสัปดาห์ที่แล้ว คำเตือนดังกล่าวตามมาด้วยการอัปเดตจาก Progress Software โดยระบุว่า ขณะตรวจสอบช่องโหว่แบบซีโรเดย์ที่พวกเขาแพตช์ไปแล้ว พวกเขาพบข้อบกพร่องในการเขียนโปรแกรมที่คล้ายกันในส่วนอื่นของโค้ด

บริษัทจึงได้เผยแพร่ก แพทช์เพิ่มเติมเพื่อกระตุ้นให้ลูกค้าใช้การแก้ไขใหม่เหล่านี้ในเชิงรุก โดยสมมติว่ามิจฉาชีพ (ซึ่งซีโร่เดย์เพิ่งถูกทำให้ไร้ประโยชน์ในแพตช์แรก) ก็จะมองหาวิธีอื่นอย่างกระตือรือร้นในการกลับเข้ามา

การลดผลกระทบของ MOVEit เพิ่มเติม: แพตช์ใหม่ที่เผยแพร่เพื่อการป้องกันเพิ่มเติม

ไม่น่าแปลกใจเลยที่แมลงขนนกมักจะรวมตัวกันเป็นฝูงดังที่เราได้อธิบายไว้ใน Naked Security ประจำสัปดาห์นี้ พอดคาสต์:

[ในวันที่ 2023-06-09 ความคืบหน้าได้เผยแพร่] แพตช์ใหม่เพื่อจัดการกับจุดบกพร่องที่คล้ายกัน ซึ่งเท่าที่พวกเขาทราบ ยังไม่พบพวกมิจฉาชีพ (แต่หากพวกเขาพิจารณาให้ดีพอ พวกเขาก็อาจจะพบ)

และฟังดูแปลก เมื่อคุณพบว่าส่วนใดส่วนหนึ่งของซอฟต์แวร์ของคุณมีข้อบกพร่องในลักษณะใดประเภทหนึ่ง คุณไม่ควรแปลกใจหากเมื่อคุณเจาะลึกลงไป...

…คุณพบว่าโปรแกรมเมอร์ (หรือทีมเขียนโปรแกรมที่ทำงานเกี่ยวกับข้อผิดพลาดนั้นในเวลาที่ตรวจพบข้อบกพร่องที่คุณทราบอยู่แล้ว) ได้ทำข้อผิดพลาดที่คล้ายกันในช่วงเวลาเดียวกัน

S3 Ep139: กฎของรหัสผ่านเหมือนวิ่งฝ่าสายฝนหรือเปล่า?

ครั้งที่สามโชคร้าย

เห็นได้ชัดว่าสายฟ้าฟาดลงที่เดิมเป็นครั้งที่สามติดต่อกันอย่างรวดเร็ว

ครั้งนี้ ดูเหมือนว่ามีใครบางคนทำสิ่งที่เรียกว่า "การเปิดเผยข้อมูลทั้งหมด" (โดยที่บั๊กจะถูกเปิดเผยไปทั่วโลกพร้อมๆ หรือ "ลด 0 วัน"

ความคืบหน้ามีเพียง รายงาน:

วันนี้ [2023-06-15] บุคคลที่สามโพสต์ช่องโหว่ใหม่ [SQL injection] ต่อสาธารณะ เราได้ระงับการรับส่งข้อมูล HTTPS สำหรับ MOVEit Cloud เนื่องจากช่องโหว่ที่เผยแพร่ใหม่ และกำลังขอให้ลูกค้า MOVEit Transfer ทั้งหมดยุติการรับส่งข้อมูล HTTP และ HTTPS ทันที เพื่อปกป้องสภาพแวดล้อมของตนในขณะที่แพทช์เสร็จสิ้น ขณะนี้เรากำลังทดสอบแพตช์และเราจะอัปเดตให้ลูกค้าทราบในไม่ช้า

พูดง่ายๆ คือมีช่วง Zero-day สั้นๆ ในระหว่างที่การแสวงประโยชน์กำลังแพร่ระบาด แต่แพตช์ยังไม่พร้อม

ตามที่ Progress ได้กล่าวไว้ก่อนหน้านี้ กลุ่มของสิ่งที่เรียกว่าข้อบกพร่องในการฉีดคำสั่ง (ที่คุณส่งข้อมูลที่ควรจะเป็นข้อมูลที่ไม่เป็นอันตรายซึ่งต่อมาถูกเรียกใช้เป็นคำสั่งระบบ) สามารถถูกกระตุ้นได้ผ่านทางพอร์ทัลบนเว็บของ MOVEit เท่านั้น (HTTP หรือ HTTPS) .

โชคดีที่นั่นหมายความว่าคุณไม่จำเป็นต้องปิดระบบ MOVEit ทั้งหมด เฉพาะการเข้าถึงผ่านเว็บเท่านั้น

จะทำอย่างไร?

อ้างอิงจาก Progress Software's เอกสารคำแนะนำ วันที่ 2023-06-15:

ปิดการใช้งาน HTTP และ HTTPs ทั้งหมดในสภาพแวดล้อม MOVEit Transfer ของคุณ โดยเฉพาะอย่างยิ่ง:

• แก้ไขกฎไฟร์วอลล์เพื่อปฏิเสธการรับส่งข้อมูล HTTP และ HTTPs ไปยัง MOVEit Transfer บนพอร์ต 80 และ 443
• โปรดทราบว่าจนกว่าจะเปิดใช้งานทราฟฟิก HTTP และ HTTPS อีกครั้ง:
  • ผู้ใช้จะไม่สามารถเข้าสู่ระบบ MOVEit Transfer web UI ได้
  • งาน MOVEit Automation ที่ใช้โฮสต์ MOVEit Transfer ดั้งเดิมจะไม่ทำงาน
  • REST, Java และ .NET API จะไม่ทำงาน
  • MOVEit Transfer add-in สำหรับ Outlook จะไม่ทำงาน
• โปรโตคอล SFTP และ FTP/s จะยังคงทำงานได้ตามปกติ

จับตาดูแพตช์ที่สามในเทพนิยายนี้ ซึ่ง ณ จุดนี้เราคิดว่าความคืบหน้าจะทำให้การเข้าถึงเว็บกลับมาเหมือนเดิม...

…แม้ว่าเราจะเห็นใจหากคุณตัดสินใจที่จะเลิกใช้มันต่อไปอีกสักระยะหนึ่ง แต่เพื่อความแน่ใจ เพื่อความแน่ใจ

---

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• การเงิน EVM ส่วนต่อประสานแบบครบวงจรสำหรับการเงินแบบกระจายอำนาจ เข้าถึงได้ที่นี่.
• กลุ่มสื่อควอนตัม IR/PR ขยาย เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. ข้อมูลอัจฉริยะ Web3 ขยายความรู้ เข้าถึงได้ที่นี่.
• ที่มา: https://nakedsecurity.sophos.com/2023/06/15/moveit-mayhem-3-disable-http-and-https-traffic-immediately/