CVE-2023-34362
Açıklama
MOVEit Transfer'ın 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) ve 2023.0.1 (15.0.1) sürümlerinden önceki versiyonlarında, kimlik doğrulaması yapmamış bir saldırganın MOVEit Transfer veritabanına erişim sağlamasına izin verebilecek bir SQL injection zafiyeti bulunmuştur. Kullanılan veritabanı motoruna bağlı olarak (MySQL, Microsoft SQL Server veya Azure SQL), bir saldırgan veritabanının yapısı ve içeriği hakkında bilgi çıkarabilir ve veritabanı öğelerini değiştiren veya silen SQL ifadeleri çalıştırabilir. NOT: Bu zafiyet Mayıs ve Haziran 2023 tarihlerinde gerçek ortamda istismar edilmiştir; yamalanmamış sistemlerin istismarı HTTP veya HTTPS üzerinden gerçekleşebilir. Açıkça belirtilen beş sürümden önceki tüm sürümler (örneğin, 2020.0 ve 2019x), desteklenmeyen eski sürümler dahil olmak üzere etkilenmektedir.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 23 Haz 2023- progress moveit_cloud14.0.5.45, 14.1.6.97, 15.0.2.39 ya da sonraki bir sürüm
- progress moveit_transfer2021.0.7, 2021.1.5, 2022.0.5, 2022.1.6, 2023.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| progress moveit_cloud | v < 14.0.5.45, 14.1.0.0 ≤ v < 14.1.6.97, 15.0.0.0 ≤ v < 15.0.2.39 | 14.0.5.45, 14.1.6.97, 15.0.2.39 |
| progress moveit_transfer | v < 2021.0.7, 2021.1.0 ≤ v < 2021.1.5, 2022.0.0 ≤ v < 2022.0.5, 2022.1.0 ≤ v < 2022.1.6, 2023.0.0 ≤ v < 2023.0.2 | 2021.0.7, 2021.1.5, 2022.0.5, 2022.1.6, 2023.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.