Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-89

CVE-2023-34362

Progress MOVEit Transfer'de kimlik doğrulamasız SQL enjeksiyonu açığı

progress Moveit CloudProgress MOVEit Transfer

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
17 Haz 2026
Açık yaşı
1244 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 2 Haz 2023 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 23 Haz 2023. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Dosya aktarım sisteminiz internete açıksa, saldırganlar kimlik bilgisi olmadan sistemdeki verilere ulaşabilir, bu verileri değiştirebilir veya silebilir. Açık şu anda aktif olarak istismar edilmektedir, bu nedenle güncellemenin gecikmeden yapılması gerekir.

ÖzetTürkçe

Progress MOVEit Transfer web uygulamasında SQL enjeksiyonu açığı bulunmaktadır. Kimlik doğrulaması yapmamış bir saldırgan, HTTP veya HTTPS üzerinden uygulamanın veritabanına erişebilir. Açık; 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) ve 2023.0.1 (15.0.1) sürümlerinden önceki tüm sürümleri etkiler; desteği sona ermiş eski sürümler de buna dahildir. Açığın Mayıs ve Haziran 2023'te aktif olarak istismar edildiği bildirilmiş ve CISA KEV listesine eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan veritabanının yapısı ve içeriği hakkında bilgi edinebilir, veritabanı öğelerini değiştiren veya silen SQL komutları çalıştırabilir. Kullanılan veritabanı motoruna (MySQL, Microsoft SQL Server veya Azure SQL) bağlı olarak etki değişebilir.

Kaynaktaki açıklama (İngilizce)

In Progress MOVEit Transfer before 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5), and 2023.0.1 (15.0.1), a SQL injection vulnerability has been found in the MOVEit Transfer web application that could allow an unauthenticated attacker to gain access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database, and execute SQL statements that alter or delete database elements. NOTE: this is exploited in the wild in May and June 2023; exploitation of unpatched systems can occur via HTTP or HTTPS. All versions (e.g., 2020.0 and 2019x) before the five explicitly mentioned versions are affected, including older unsupported versions.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. MOVEit Transfer'i üretici tarafından yayımlanan düzeltilmiş sürüme güncelleyin: 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) veya 2023.0.1 (15.0.1) ya da daha yenisi. Genel öneri
  2. Desteklenmeyen eski bir sürüm (ör. 2020.0 veya 2019x) kullanıyorsanız bu sürümler de etkilenmektedir; desteklenen ve düzeltilmiş bir sürüme geçiş yapın. Genel öneri
  3. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
  4. Güncelleme yapılana kadar sisteme HTTP/HTTPS erişimini geçici olarak kısıtlamayı veya kapatmayı değerlendirin. Genel öneri

Ek önlemler

  • Sistemin geçmişe dönük olarak ele geçirilip geçirilmediğini kontrol edin; web sunucusu ve veritabanı kayıtlarında olağandışı istekleri, beklenmeyen dosyaları ve yetkisiz hesapları arayın. Genel öneri
  • MOVEit Transfer arayüzünü mümkünse yalnızca güvenilir IP adreslerine açın veya VPN arkasına alın. Genel öneri
  • Sistemde saklanan hassas verileri ve kimlik bilgilerini, ihlal şüphesi varsa değiştirin ve sızıntı olasılığına karşı değerlendirin. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) kullanarak SQL enjeksiyonu girişimlerini izleyin ve engelleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
progress Moveit Cloud < 14.0.5.45 14.0.5.45
≥ 14.1.0.0, < 14.1.6.97 14.1.6.97
≥ 15.0.0.0, < 15.0.2.39 15.0.2.39
Progress MOVEit Transfer < 2021.0.7 2021.0.7
≥ 2021.1.0, < 2021.1.5 2021.1.5
≥ 2022.0.0, < 2022.0.5 2022.0.5
≥ 2022.1.0, < 2022.1.6 2022.1.6
≥ 2023.0.0, < 2023.0.2 2023.0.2

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Etkilenen sürüm bilgisi güncellendi
  2. Yama ya da düzeltilmiş sürüm çıktı
  3. Yayımlandı
  4. CISA KEV listesine eklendi (saldırılarda kullanılıyor)

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.