Progress Software公司之檔案傳輸服務MOVEit Transfer存在高風險安全漏洞(CVE-2023-34362)，允許攻擊者於未經身分鑑別之情況下，存取並修改資料庫，該漏洞目前已遭駭客利用，請儘速確認並進行更新或評估採取緩解措施

資安新聞

內容說明：

研究人員發現Progress Software公司之檔案傳輸服務MOVEit Transfer網頁介面存在資料庫注入(SQL injection)漏洞(CVE-2023-34362)，允許攻擊者於未經身分鑑別之情況下，利用此漏洞存取並修改資料庫。

 

影響平台：

MOVEit Transfer 2023.0.1(15.0.1)(含)以下、2022.1.5(14.1.5)(含)以下、2022.0.4(14.0.4)(含)以下、2021.1.4(13.1.4)(含)以下、2021.0.6(13.0.6)(含)以下、2020.1(12.1)所有及2020.0(12.0)所有至更舊版本
MOVEit Cloud

 

處置建議：

目前Progress Software官方已針對此漏洞釋出更新程式，請各機關儘速進行版本確認與更新：
(1)MOVEit Transfer請升級至2023.0.2(15.0.2)、2022.1.6(14.1.6)、2022.0.5(14.0.5)、2021.1.5(13.1.5)及2021.0.7(13.0.7)(含)以上版本
(2)MOVEit Transfer 2020.1.x(12.1)與2020.0.x(12.0)(含)以下版本，請參考官方說明更新至官方支援版本(https://community.progress.com/s/article/Upgrade-and-or-Migration-Guide-for-MOVEit-Automation-and-MOVEit-Transfer)
(3)MOVEit Cloud 14.1.6.97、14.0.5.45及15.0.2.39版本

 

參考資料：

1.https://www.mandiant.com/resources/blog/zero-day-moveit-data-theft
2.https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
3.https://nvd.nist.gov/vuln/detail/CVE-2023-34362