Hakkerit ovat valmiita menemään minne tahansa GoAnywhere MFT:n kriittisen haavoittuvuuden vuoksi (CVE-2024-0204)

CVE-2024-0204, Fortran GoAnywhere Managed File Transfer (MFT) -ohjelmiston kriittinen todennuksen ohitushyökkäys, antaa luvattomille käyttäjille mahdollisuuden luoda järjestelmänvalvojan käyttäjiä ja ohittaa todennusvaatimukset. GoAnywhere MFT oli aiemmin Clop-kiristysohjelmaryhmän kohteena CVE-2023-0669:llä.

Fortra julkaisi tietoturvatiedotteen CVE-2024-0204:lle tammikuussa 2024 joulukuun 2023 korjaustiedoston julkaisun jälkeen. Haavoittuvuus vaikuttaa Fortra GoAnywhere MFT -versioiden käyttöön, jotka ovat vanhempia kuin 7.4.1. GoAnywhere MFT oli aiemmin Clop-kiristysohjelmaryhmän kohteena CVE-2023-0669:llä.

Mikä on CVE-2024-0204?

Fortra on viitannut haavoittuvuuteen todennuksen ohituksena GoAnywhere MFT -ratkaisussa ja huomauttanut, että hyväksikäyttö on heikkous CWE-425 Direct Request. GoAnywhere MFT tarjoaa tiedostojen etäsiirtoratkaisun, jonka etuja ovat automaatio ja parannettu tietoturva. GoAnywhereä käytetään useilla eri toimialoilla, ja se tukee useita vaatimustenmukaisuusstandardeja ja tiedostonsiirtoprotokollia.

Suoran pyynnön heikkous tarkoittaa, että työkalu ei pakota vaadittua valtuutusta rajoitettuun käyttöoikeuteen. GoAnywhere MFT -haavoittuvuuden avulla todentamattomat hyökkääjät voivat luoda uuden järjestelmänvalvojan käyttäjän, jolla on kaikki siihen liittyvät järjestelmänvalvojan oikeudet polun läpikulkuun, luku- ja kirjoitusoikeuksiin sekä komentojen suorittamiseen.

CVE-2024-0204 seuraa viime vuoden CVE-2023-0669:ää (CVSS-pistemäärä 7.2), joka vaikutti myös GoAnywhere MFT:hen esitodennuskomentojen injektiohaavoittuvuutena. CVE-2023-0669 edellytti hätäkorjausta suojautuakseen koodin etäsuoritukseen johtavalta koodin lisäykseltä. Clop-kiristysohjelmaryhmä hyödynsi koodin lisäyshaavoittuvuutta tammikuussa 2023, mikä johti tietomurtoihin 130 GoAnywhere MFT:tä käyttävälle yritykselle. Lisätietoja CVE-2023-0669:stä on Fortran yhteenvedossa tutkimuksestaan.

Ohitustodennuksen haavoittuvuus, joka odottaa tällä hetkellä analysointia kansallisessa haavoittuvuustietokannassa, on merkitty CVE-2024-0204. Fortra asetti kriittisen CVSS-pistemäärän 9,8 (10:stä), mikä osoittaa vian vakavuuden Common Vulnerability Scoring System -järjestelmän mukaan.

Tammikuun 22. päivänä 2024 antamassaan tietoturvatiedotteessa Fortra tunnustaa Spark Engineering Consultantsin Mohammed Eldeebin ja Islam Elrfain 1. joulukuuta 2023 tekemän ensimmäisen löydön. Sitä seurasi nopea korjaustiedosto, jonka päivitetty versio ohjelmistosta on saatavilla 7. joulukuuta 2023. Fortra on ilmoittanut, että he eivät ole saaneet raportteja aktiivisesta hyväksikäytöstä korjaustiedoston jälkeen.

Kuinka todentaa mahdolliset vaarantumisen indikaattorit

Vaikka GoAnywheren dokumentaatio on aidattu nykyisille asiakkaille, ohjelmiston aiempien versioiden asennusoppaat osoittavat, että oletushallintaportteja ovat [.rt-script]8000[.rt-script] HTTP-yhteyksille ja [.rt-script]8001[.rt-script] suojatuille HTTPS-pyynnöille. GoAnywhere MFT:n verkkopohjainen hallintakonsoli tarkoittaa, että todennuksen ohitusta voidaan hyödyntää, jos konsoli on käytettävissä julkisen Internetin kautta.

Useimmissa tapauksissa hallintakonsoli on rajoitettu yksityiseen verkkoon, VPN-yhteyden kautta tai sallittujen IP-osoitteiden kautta. Koska tämä ratkaisu kuitenkin tarjoaa hallitun tiedostonsiirron ja yritykset voivat käyttää tätä palvelua erittäin arkaluonteisille tiedoille, hallinta-asetusten luvaton käyttö voi aiheuttaa liiketoiminnan kannalta kriittisiä ongelmia.

Jos GoAnywhere-hallintapaneelisi on käytettävissä julkisesta internetistä etkä ole päivittänyt korjattuun versioon, päivitä palvelu välittömästi ja arvioi mahdolliset vaarantumisen indikaattorit (IOC).

Mahdolliset IOC:t CVE-2024-0204:lle:

  • Käytä järjestelmänvalvojan tilin luontipäätepistettä kehäsi ulkopuolelta (sisäisen verkon ulkopuolelta, VPN:n ulkopuolella tai luvattomasta IP-osoitteesta). Jos voit luoda uuden järjestelmänvalvojan ilman käyttäjän todennusta, palvelusi voi vaarantua.
  • Tarkista [.rt-script]Admin Users[.rt-script] -ryhmä hallintakonsolissa. Luvattomat uudet lisäykset osoittavat, että hyökkääjä on saattanut vaarantaa palvelusi.
  • Tarkista lokit osoitteessa [.rt-script]\GoAnywhere\userdata\database\goanywhere\log\*.log[.rt-script] uusien käyttäjien luomiseen viittaavien merkintöjen varalta. Muista tarkistaa lokit, vaikka Järjestelmänvalvojat-ryhmässäsi ei olisi uusia käyttäjiä, koska hyökkääjä on saattanut poistaa luvattoman käyttäjän sen jälkeen, kun hän on päässyt järjestelmään.

Kuinka suojautua CVE-2024-0204:ltä

Jos et ole vielä päivittänyt versioon 7.4.1 tai uudempaan, tee se välittömästi. Fortran versiopäivitys sisältää korjaustoimenpiteen tähän haavoittuvuuteen. Fortran asiakkaat voivat tutustua asiakasneuvontaan asiakasportaalissa.

Fortran julkinen tiedote sisältää kaksi lisävaihtoehtoa haavoittuvuuden poistamiseksi:

  • Jos kyseessä on muu kuin säilökäyttöönotto, poista [.rt-script]InitialAccountSetup.xhtml[.rt-script]-tiedosto asennushakemistosta ja käynnistä palvelut uudelleen.
  • Jos kyseessä on säilöpohjainen käyttöönotto, korvaa [.rt-script]InitialAccountSetup.xhtml[.rt-script]-tiedosto tyhjällä tiedostolla ja käynnistä palvelut uudelleen.

Haavoittuvuuden lieventämisen lisäksi sinun tulee tarkistaa lokit edellä mainittujen vaarantumisen merkkien varalta. Jos havaitset odottamattomia toimia, ryhdy välittömästi toimiin tapahtumasuunnitelmasi mukaisesti ja ota yhteyttä suoraan Fortraan ongelmasta.

Ulkoisen hyökkäyspinnan jatkuva valvonta voi auttaa sinua ryhtymään ennakoiviin toimenpiteisiin mahdollisia tunnettuja ja tuntemattomia haavoittuvuuksia vastaan, mukaan lukien GoAnywhere CVE-2024-0204. UpGuard ylläpitää haavoittuvuuskirjastoa asiakkaille, jotka käyttävät BreachSightia ja Vendor Riskiä. Seuraamme parhaillaan tilannetta saadaksemme lisätietoja, kun lisäämme GoAnywhere-ohitustodennuksen haavoittuvuuden UpGuardin haavoittuvuuskirjastoon.