MOVEit mayhem 3: "تعطيل حركة مرور HTTP و HTTPS على الفور"

MOVEit mayhem 3: "تعطيل حركة مرور HTTP و HTTPS على الفور"

الطابع الزمني: 15 حزيران (يونيو) 2023 الساعة 6:10 ظهرًا
عقدة المصدر: 2726151
by بول داكلين

بعد المزيد من الفوضى MOVEit!

"تعطيل حركة مرور HTTP و HTTPS إلى MOVEit Transfer" يقول Progress Software ، والإطار الزمني للقيام بذلك هو "في الحال"، لا ، لا تحفظات.

تقدم برمجيات الشركة المصنعة لبرامج مشاركة الملفات نقل MOVEit، والمُستضاف سحابة موفيت البديل الذي يعتمد عليه ، وهذا هو تحذيرها الثالث في غضون ثلاثة أسابيع حول نقاط الضعف القابلة للاختراق في منتجها.

في نهاية مايو 2023 ، تم اكتشاف أن مجرمي الابتزاز الإلكتروني المرتبطين بعصابة Clop ransomware يستخدمون ثغرة يوم الصفر لاقتحام الخوادم التي تشغل الواجهة الأمامية لمنتج MOVEit.

من خلال إرسال أوامر قاعدة بيانات SQL مشوهة بشكل متعمد إلى خادم MOVEit Transfer عبر بوابة الويب الخاصة به ، يمكن للمجرمين الوصول إلى جداول قاعدة البيانات دون الحاجة إلى كلمة مرور ، وزرع البرامج الضارة التي سمحت لهم بالعودة إلى الخوادم المخترقة لاحقًا ، حتى إذا تم تصحيحها في في هذه الأثناء.

من الواضح أن المهاجمين كانوا يسرقون بيانات شركة الكأس ، مثل تفاصيل رواتب الموظفين ، ويطالبون بمدفوعات الابتزاز في مقابل "حذف" البيانات المسروقة.

We شرح كيفية التصحيح ، وما الذي يمكنك البحث عنه في حالة قيام المحتالين بزيارتك بالفعل ، مرة أخرى في بداية يونيو 2023:

التحذير الثاني

أعقب هذا التحذير ، الأسبوع الماضي ، تحديث من Progress Software.

أثناء التحقيق في فجوة يوم الصفر التي قاموا بتصحيحها للتو ، كشف مطورو Progress عن عيوب برمجة مماثلة في مكان آخر في الكود.

لذلك قامت الشركة بنشر ملف مزيد من التصحيح، يحث العملاء على تطبيق هذا التحديث الجديد بشكل استباقي ، بافتراض أن المحتالين (الذين أصبح يومهم صفر للتو عديم الفائدة من التصحيح الأول) سيبحثون بشدة عن طرق أخرى للعودة.

مما لا يثير الدهشة ، غالبًا ما تتجمع حشرات الريش معًا ، كما أوضحنا في Naked Security هذا الأسبوع بودكاست:

[في 2023-06-09 ، وضعت Progress] تصحيحًا آخر للتعامل مع الأخطاء المماثلة التي ، على حد علمهم ، لم يعثر عليها المحتالون بعد (ولكن إذا بدوا بجدية كافية ، فقد يفعلون ذلك).

وبقدر ما يبدو ذلك غريبًا ، عندما تجد أن جزءًا معينًا من برنامجك به خلل من نوع معين ، لا ينبغي أن تتفاجأ إذا ، عندما تبحث بشكل أعمق ...

... تجد أن المبرمج (أو فريق البرمجة الذي عمل عليه في وقت ظهور الخطأ الذي تعرفه بالفعل) ارتكب أخطاء مماثلة في نفس الوقت تقريبًا.

المرة الثالثة سيئ الحظ

حسنًا ، يبدو أن البرق قد ضرب نفس المكان للمرة الثالثة في تتابع سريع.

هذه المرة ، يبدو كما لو أن شخصًا ما أجرى ما يُعرف في المصطلحات بأنه "إفشاء كامل" (حيث يتم الكشف عن الأخطاء للعالم في نفس الوقت مع البائع ، وبالتالي لا يمنح البائع أي مجال للتنفس لنشر التصحيح بشكل استباقي) ، أو "إسقاط 0 يوم".

التقدم فقط وذكرت:

اليوم [2023-06-15] ، نشرت جهة خارجية علنًا ثغرة أمنية جديدة [حقن SQL]. لقد قمنا بخفض حركة مرور HTTPS لـ MOVEit Cloud في ضوء الثغرة الأمنية المنشورة حديثًا ونطلب من جميع عملاء MOVEit Transfer إزالة حركة مرور HTTP و HTTPS على الفور لحماية بيئاتهم أثناء الانتهاء من التصحيح. نقوم حاليًا باختبار التصحيح وسنقوم بتحديث العملاء قريبًا.

ببساطة ، هناك فترة قصيرة من يوم الصفر يتم خلالها تداول ثغرة العمل ، لكن التصحيح ليس جاهزًا بعد.

كما ذكر التقدم من قبل ، فإن هذه المجموعة التي تسمى أخطاء إدخال الأوامر (حيث ترسل ما يجب أن تكون بيانات غير ضارة يتم استدعاؤها لاحقًا كأمر خادم) يمكن تشغيلها فقط عبر بوابة MOVEit المستندة إلى الويب ، باستخدام HTTP أو HTTPS الطلبات.

لحسن الحظ ، هذا يعني أنك لست بحاجة إلى إيقاف تشغيل نظام MOVEit بالكامل ، فقط الوصول المستند إلى الويب.

ماذا ستفعلين.. إذًا؟

نقلا عن التقدم البرامج وثيقة المشورة بتاريخ 2023-06-15:


قم بتعطيل كل حركات مرور HTTP و HTTP إلى بيئة MOVEit Transfer الخاصة بك. اكثر تحديدا:

  • قم بتعديل قواعد جدار الحماية لرفض حركة مرور HTTP و HTTPs إلى MOVEit Transfer على المنفذين 80 و 443.
  • من المهم ملاحظة أنه حتى يتم تمكين حركة مرور HTTP و HTTPS مرة أخرى:
    • لن يتمكن المستخدمون من تسجيل الدخول إلى واجهة مستخدم الويب MOVEit Transfer.
    • لن تعمل مهام MOVEit Automation التي تستخدم مضيف MOVEit Transfer الأصلي.
    • لن تعمل واجهات برمجة تطبيقات REST و Java و .NET.
    • لن تعمل الوظيفة الإضافية MOVEit Transfer لبرنامج Outlook.
  • ستستمر بروتوكولات SFTP و FTP / s في العمل كالمعتاد

انتبه إلى التصحيح الثالث في هذه الملحمة ، وعند هذه النقطة نفترض أن التقدم سيعطي كل الوضوح لإعادة تشغيل الوصول إلى الويب ...

... على الرغم من أننا نتعاطف إذا قررت الاحتفاظ بها لفترة أطول ، فقط للتأكد ، للتأكد.

نصائح التهديد لعملاء SOPHOS

الطابع الزمني:

اكثر من الأمن عارية