MOVEit mayhem 3: «Негайно вимкніть трафік HTTP і HTTPS»

MOVEit mayhem 3: «Негайно вимкніть трафік HTTP і HTTPS»

Мітка часу: 15 червня 2023 6:10
MOVEit хаос 3: «Негайно вимкніть трафік HTTP і HTTPS» PlatoBlockchain Data Intelligence. Вертикальний пошук. Ai.
by Пол Даклін

Ще більше MOVEit хаосу!

«Вимкнути трафік HTTP та HTTPS для MOVEit Transfer» каже Progress Software, а часові рамки для цього «негайно», немає якщо, немає але,

Progress Software є виробником програмного забезпечення для обміну файлами Передача MOVEit, і розміщений MOVEit Cloud альтернатива, яка базується на ньому, і це його третє попередження за три тижні про хакерські вразливості в його продукті.

Наприкінці травня 2023 року було виявлено, що зловмисники-кібервимагачі, пов’язані з бандою програм-вимагачів Clop, використовували експлойт нульового дня для злому серверів, на яких запущено веб-інтерфейс продукту MOVEit.

Надсилаючи навмисно неправильно сформовані команди бази даних SQL на сервер MOVEit Tranfer через його веб-портал, зловмисники могли отримувати доступ до таблиць бази даних, не потребуючи пароля, і імплантувати зловмисне програмне забезпечення, яке дозволяло їм повернутися на скомпрометовані сервери пізніше, навіть якщо вони були виправлені. проміжний.

We пояснені як виправляти та що ви можете шукати, якщо шахраї вже навідалися до вас на початку червня 2023 року:

Експлойт нульового дня MOVEit, який використовують угруповання зловмисників: як, чому та що робити…

Очевидно, зловмисники викрадали дані трофейної компанії, такі як відомості про заробітну плату співробітників, і вимагали шантажу в обмін на «видалення» вкрадених даних.

Друге попередження

За цим попередженням минулого тижня з’явилося оновлення від Progress Software, у якому говорилося, що під час дослідження діри нульового дня, яку вони вже виправили, вони виявили подібні недоліки програмування в інших частинах коду.

Тому компанія опублікувала a подальший патч, закликаючи клієнтів завчасно застосовувати ці нові виправлення, припускаючи, що шахраї (чий нульовий день щойно став марним першим патчем) також завзято шукатимуть інші способи повернутися.

Більше засобів захисту від MOVEit: опубліковано нові виправлення для додаткового захисту

Не дивно, що жуки пір’я часто збираються разом, як ми пояснювали цього тижня в Naked Security Подкаст:

[2023-06-09, Progress put] ще один патч для усунення подібних помилок, які, наскільки їм відомо, шахраї ще не знайшли (але якби вони досить старанно шукали, могли б).

І, як би дивно це не звучало, коли ви виявляєте, що певна частина вашого програмного забезпечення містить помилку певного типу, ви не повинні дивуватися, якщо копнувши глибше...

…ви виявляєте, що програміст (або команда програмістів, яка працювала над цим у той час, коли виникла помилка, про яку ви вже знаєте), припустився подібних помилок приблизно в той самий час.

S3 Ep139: Правила паролів схожі на біг під дощем?

Третій раз не пощастило

Ну, очевидно, блискавка вдарила в те саме місце втретє поспіль.

Цього разу здається, ніби хтось виконав те, що на жаргоні називається «повним розкриттям» (де помилки відкриваються світові одночасно з постачальником, таким чином не даючи постачальнику можливості завчасно опублікувати виправлення). , або «скидання 0-дня».

Прогрес тільки що повідомляє:

Сьогодні [2023-06-15] третя сторона публічно опублікувала нову вразливість [SQL injection]. Ми вимкнули трафік HTTPS для MOVEit Cloud у світлі нещодавно опублікованої вразливості та просимо всіх клієнтів MOVEit Transfer негайно вимкнути свій трафік HTTP та HTTPS, щоб захистити своє середовище, доки завершується виправлення. Зараз ми тестуємо патч і незабаром оновимо клієнтів.

Простіше кажучи, є короткий період нульового дня, протягом якого циркулює робочий експлойт, але патч ще не готовий.

Як уже згадував Progress, цю групу так званих помилок ін’єкції команд (де ви надсилаєте нешкідливі дані, які пізніше викликаються як системна команда) можна запустити лише через веб-портал MOVEit (HTTP або HTTPS). .

На щастя, це означає, що вам не потрібно вимикати всю систему MOVEit, а лише веб-доступ.

Що ж робити?

Цитата з Progress Software консультаційний документ від 2023-06-15:


Вимкніть увесь трафік HTTP та HTTPs до середовища MOVEit Transfer. Більш конкретно:

  • Змініть правила брандмауера, щоб заборонити трафік HTTP і HTTPs для MOVEit Transfer на портах 80 і 443.
  • Важливо зауважити, що доки трафік HTTP та HTTPS не буде знову ввімкнено:
    • Користувачі не зможуть увійти до веб-інтерфейсу MOVEit Transfer.
    • Завдання MOVEit Automation, які використовують власний хост MOVEit Transfer, не працюватимуть.
    • REST, Java і .NET API не працюватимуть.
    • Надбудова MOVEit Transfer для Outlook не працюватиме.
  • Протоколи SFTP і FTP/s працюватимуть у звичайному режимі

Слідкуйте за третім патчем у цій сазі, і ми припускаємо, що в цей момент Progress дасть дозвіл на відновлення доступу до Інтернету…

…хоча ми будемо співчувати, якщо ви вирішите залишити це вимкнутим ще деякий час, щоб бути впевненим, щоб бути впевненим.

Часова мітка:

Більше від Гола безпека