CVE-2023-34362criticalbajo ataqueransomwareCWE-89

CVE-2023-34362

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear MOVEit Transfer

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 9.8epss 100%
de la publicación al arma4 días
Publicada en NVD2 jun
1ª PoC+4d
metasploit31 may
CISA KEV2 jun
víctimas21 ago
Apareció en 2 incidente(s) que verificamos
The Hospital for Sick Children (SickKids) · Shell, General Electric (GE) e Philips
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

Ransomwareclop Vexday
Acción exigida por CISAplazo federal: 2023-06-23

Apply updates per vendor instructions.

En resumen

MOVEit Transfer tiene una falla de inyección SQL que permite a atacantes sin credenciales acceder y manipular la base de datos. Este es un problema crítico porque los atacantes pueden robar datos sensibles o destruir información almacenada en el sistema.

Detalle técnico

Vulnerabilidad de inyección SQL no autenticada en la aplicación web MOVEit Transfer permite a atacantes ejecutar consultas SQL arbitrarias contra la base de datos backend (MySQL, MSSQL o Azure SQL) mediante solicitudes HTTP/HTTPS. Los atacantes pueden enumerar la estructura de la base de datos, extraer información sensible o modificar/eliminar elementos; se han observado explotaciones en entornos de producción desde mayo de 2023.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In Progress MOVEit Transfer before 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5), and 2023.0.1 (15.0.1), a SQL injection vulnerability has been found in the MOVEit Transfer web application that could allow an unauthenticated attacker to gain access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database, and execute SQL statements that alter or delete database elements. NOTE: this is exploited in the wild in May and June 2023; exploitation of unpatched systems can occur via HTTP or HTTPS. All versions (e.g., 2020.0 and 2019x) before the five explicitly mentioned versions are affected, including older unsupported versions.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.