CVE-2023-0669highbajo ataqueransomwareCWE-502

CVE-2023-0669: fallo de gravedad alta en Fortra Goanywhere MFT

Fortra GoAnywhere MFT License Response Servlet Command Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear GoAnywhere MFT

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 7.2epss 100%
de la publicación al arma4 días
Publicada en NVD6 feb
1ª PoC+4d
metasploit1 feb
CISA KEV+4d
Acción exigida por CISAplazo federal: 2023-03-03

Apply updates per vendor instructions.

En resumen

Fortra GoAnywhere MFT tiene una falla que permite a atacantes ejecutar comandos en el servidor sin iniciar sesión, enviando datos malformados que engañan al software. Esto es peligroso porque cualquier persona en la red puede explotarlo sin necesidad de contraseña.

Detalle técnico

La vulnerabilidad existe en el Servlet de Respuesta de Licencia, donde objetos Java serializados no confiables se deserializan sin validación adecuada, permitiendo ejecución remota de código previo a autenticación. Un atacante no autenticado puede explotarla enviando un objeto serializado malicioso para ejecutar comandos arbitrarios con los privilegios de la aplicación. Se corrigió en versión 7.1.2.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Fortra (formerly, HelpSystems) GoAnywhere MFT suffers from a pre-authentication command injection vulnerability in the License Response Servlet due to deserializing an arbitrary attacker-controlled object. This issue was patched in version 7.1.2.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Fortra · Goanywhere MFT
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.