登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202309/1930892_30003_0.htm

MOVEit Transfer SQL注入漏洞（CVE-2023-34362）通告

【发布时间：2023-09-18】

新华三盾山实验室

2023/06/05


1. 漏洞综述

1.1 漏洞背景

Progress MOVEit Transfer是一种企业级文件传输软件，旨在提供安全、稳定和可信赖的方式来传输重要数据和文件。具有自动化、加密传输、审计跟踪、角色基础的访问控制、灵活的部署选项等功能，支持FTP、SFTP、FTPS、HTTP、HTTPS等协议的传输服务。近日，新华三盾山实验室监测到Progress官方发布了安全公告，修复了一个存在于Progress Software MOVEit Transfer中的SQL注入漏洞（CVE-2023-34362），且漏洞存在在野利用，攻击者利用该漏洞可获取数据库敏感信息。

1.2 漏洞详情

由于Progress MOVEit Transfer存在SQL注入漏洞，未经身份验证的恶意攻击者可以通过构造SQL注入语句对MOVEit Transfer 数据库进行恶意操作，从而获取数据库敏感信息。

2. 影响范围

Progress MOVEit Transfer 2021.0.x版本：< 2021.0.6 (13.0.6)

Progress MOVEit Transfer 2021.1.x版本：< 2021.1.4 (13.1.4)

Progress MOVEit Transfer 2022.0.x版本：< 2022.0.4 (14.0.4)

Progress MOVEit Transfer 2022.1.x版本：< 2022.1.5 (14.1.5)

Progress MOVEit Transfer 2023.0.x版本：< 2023.0.1 (15.0.1)

ProgressMOVEit Transfer 2020.1.x版本

ProgressMOVEit Transfer 2020.0.x及之前版本

3. 严重等级

威胁等级

高危

影响程度

广泛

利用价值

高

利用难度

低

漏洞评分

/

4. 处置方法

4.1 官方补丁

目前官方已修复该漏洞，受影响用户可以升级更新到安全版本。官方下载链接：https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023

4.2 临时解决措施

1、禁用对于MOVEit transfer的Http和Https网络请求（修改防火墙规则拒绝端口 80和443上的MOVEit Transfer的HTTP和HTTPs流量）

2、查看、删除和重置

a. 删除未授权的文件和用户账户

b. 重置凭据

具体操作请参考官方链接：https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023

5. 参考链接

https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023

新华三官网
联系我们