CVE-2023-34362

SQL injection não autenticada na aplicação web MOVEit Transfer, da Progress Software, que permite acesso direto ao banco de dados por trás da ferramenta de transferência de arquivos. A falha foi o vetor inicial da campanha de exfiltração em massa conduzida pelo grupo Cl0p em maio/junho de 2023, uma das maiores campanhas de roubo de dados via cadeia de suprimentos de software dos últimos anos, atingindo milhares de organizações que usavam MOVEit para transferir arquivos sensíveis.

A falha é uma SQL injection clássica (CWE-89) na camada web da aplicação MOVEit Transfer. Parâmetros processados pela interface HTTP/HTTPS da aplicação não são adequadamente sanitizados antes de compor consultas SQL, permitindo que um atacante injete comandos SQL arbitrários sem necessidade de autenticação prévia. O impacto exato da injeção depende do motor de banco usado por trás do MOVEit Transfer — MySQL, Microsoft SQL Server ou Azure SQL — mas em todos os casos o fornecedor confirma que é possível inferir estrutura e conteúdo do banco, e executar instruções que alteram ou apagam dados.

O fornecedor não detalhou publicamente o endpoint ou parâmetro exato vulnerável no advisory original (por razões óbvias de contenção durante a exploração ativa). Pesquisadores que analisaram os ataques em campo (Mandiant, Microsoft, Huntress) documentaram que os atacantes usavam a SQLi para criar contas de administrador falsas dentro da aplicação e, a partir daí, fazer upload de uma webshell (identificada como LEMURLOOT) disfarçada de arquivo legítimo do MOVEit, obtendo assim execução de código e acesso persistente ao servidor — não apenas leitura de banco.

O ponto crítico é que a vulnerabilidade está na aplicação web em si, não em uma configuração opcional: qualquer instância de MOVEit Transfer exposta à internet, em qualquer versão anterior às corrigidas, estava vulnerável independentemente de hardening adicional, porque a falha reside na lógica de tratamento de entrada da própria aplicação.

O vetor é HTTP ou HTTPS direto contra a interface web do MOVEit Transfer — não exige autenticação, conta válida, nem configuração não padrão. Basta que a instância esteja acessível na rede (tipicamente exposta à internet, já que MOVEit Transfer é usado para receber arquivos de parceiros externos). Isso torna o pré-requisito de exploração trivial: qualquer instância vulnerável alcançável pela internet é um alvo.

Na campanha real, atribuída ao grupo Cl0p (também rastreado como TA505/FIN11), a exploração seguiu um padrão: SQL injection para manipular o banco e criar uma sessão/conta administrativa ilegítima, seguida de upload de uma webshell para obter execução de comando e exfiltrar arquivos armazenados no servidor MOVEit em massa. O objetivo final não era o banco em si, mas os arquivos sensíveis que trafegavam pela plataforma — dados de clientes, folhas de pagamento, informações regulatórias — usados posteriormente para extorsão.

A exploração em massa começou antes da divulgação pública (fim de maio de 2023) e continuou em junho, quando a CVE foi formalmente publicada e passou a constar do catálogo KEV da CISA já na data de publicação. Há PoC pública, módulo Metasploit e template Nuclei disponíveis, o que elimina qualquer barreira de complexidade técnica remanescente — a exploração hoje está automatizada e ao alcance de scanners genéricos.

O fornecedor lançou patches específicos para cada branch suportado: 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5) e 2023.0.1 (15.0.1). Qualquer versão anterior a essas, incluindo os ramos antigos e não suportados 2020.0 e 2019x, é vulnerável e deve ser tratada como comprometida até prova em contrário, dado o volume de exploração em massa registrado no período.

Atualizar é a única mitigação real. Não há flag de configuração ou parâmetro que neutralize uma SQL injection na lógica da aplicação — isolar a instância da internet (restringir acesso por IP/VPN) reduz a superfície de ataque mas não corrige a falha em ambientes que precisam manter a exposição para receber arquivos de terceiros, que é o caso de uso típico do produto. Para quem não pode atualizar imediatamente, o próprio fornecedor recomendou, durante a resposta inicial, desabilitar todo o tráfego HTTP/HTTPS para a instância até a aplicação do patch — uma mitigação de continuidade zero, não uma alternativa de longo prazo.

Organizações que rodaram MOVEit Transfer exposto durante a janela de exploração (final de maio/início de junho de 2023) devem tratar a atualização como insuficiente isoladamente: é necessário assumir possível comprometimento prévio e investigar indícios de webshell, contas administrativas criadas fora do processo normal, e exfiltração de arquivos, conforme orientado no alerta AA23-158A da CISA. Simplesmente aplicar o patch sem investigação forense deixa uma eventual webshell já instalada intacta.

O alerta AA23-158A da CISA, referenciado no registro KEV, lista indicadores de comprometimento associados à campanha — incluem a presença da webshell LEMURLOOT em diretórios da aplicação MOVEit, contas de usuário/administrador criadas fora do fluxo normal de provisionamento, e padrões de requisições HTTP anômalas contra a interface web do MOVEit Transfer nos logs de acesso IIS. A ausência desses IOCs específicos, porém, não garante que a instância não foi explorada por variantes ou por atacantes que não seguiram o padrão do grupo Cl0p — a única forma confiável de descartar comprometimento em instâncias que ficaram expostas durante a janela de exploração ativa é revisão forense completa, não apenas checagem de assinatura.