CVE-2025-10035criticalbajo ataqueransomwareCWE-502CWE-77

CVE-2025-10035: fallo crítico en Fortra GoAnywhere MFT

Deserialization Vulnerability in GoAnywhere MFT's License Servlet

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear GoAnywhere MFT

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 10epss 100%
de la publicación al arma2 días
Publicada en NVD18 sept
1ª PoC+2d
CISA KEV+11d
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

Ransomwaremedusa CISA
Acción exigida por CISAplazo federal: 2025-10-20

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

GoAnywhere MFT contiene una falla que permite a alguien con una licencia falsificada inyectar y ejecutar comandos maliciosos en el servidor. Esto ocurre porque el software procesa datos no confiables sin validación adecuada.

Detalle técnico

El License Servlet de GoAnywhere MFT deserializa objetos no confiables (CWE-502) sin validación suficiente, permitiendo inyección de comandos (CWE-77) cuando un atacante crea una respuesta de licencia maliciosa con firma válida falsificada. La precondición requiere capacidad de generar firma válida; el impacto incluye ejecución de código arbitrario con privilegios de la aplicación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

A deserialization vulnerability in the License Servlet of Fortra's GoAnywhere MFT allows an actor with a validly forged license response signature to deserialize an arbitrary actor-controlled object, possibly leading to command injection.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Fortra · GoAnywhere MFT
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Fortra GoAnywhere MFT

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-0204CRITICALAuthentication Bypass in GoAnywhere MFTEPSS 95.1%CVE-2024-25157MEDIUMAuthentication bypass in GoAnywhere MFT prior to 7.6.0EPSS 0.5%CVE-2026-15913HIGHPath Traversal in Fortra's GoAnywhere MFT EndpointEPSS 0.4%CVE-2024-25156MEDIUMPath traversal in GoAnywhere MFT 7.4.1 and EarlierEPSS 0.4%CVE-2025-3871MEDIUMBroken Access Control Leads to Limited Denial of Service in GoAnywhere MFT 7.8.0 and earlierEPSS 0.4%CVE-2024-9945MEDIUMLimited Information Disclosure in GoAnywhere MFT Prior to 7.7.0EPSS 0.3%