Η ροή εργασίας Fortra FileCatalyst είναι ευάλωτη σε μια ευπάθεια SQL injection που θα μπορούσε να επιτρέψει σε απομακρυσμένους εισβολείς χωρίς έλεγχο ταυτότητας να δημιουργήσουν απατεώνες διαχειριστές και να χειριστούν δεδομένα στη βάση δεδομένων της εφαρμογής.
Το FileCatalyst Workflow είναι μια πλατφόρμα ανταλλαγής και κοινής χρήσης αρχείων βασισμένη στον ιστό που υποστηρίζει μεγάλα μεγέθη αρχείων.
Χ
ρησιμοποιείται από οργανισμούς σε όλο τον κόσμο για την επιτάχυνση της μεταφοράς δεδομένων και τη συνεργασία σε ιδιωτικούς χώρους cloud.
Η κρίσιμη ευπάθεια (CVSS v3.1: 9.8), η οποία παρακολουθείται ως
CVE
-2024-5276, ανακαλύφθηκε στις 18 Ιουνίου 2024 από ερευνητές της Tenable, αλλά δημοσιοποιήθηκε μόλις χθες.
Η Fortra εξηγεί σε ένα ενημερωτικό δελτίο ασφαλείας ότι το ελάττωμα επιτρέπει τη δημιουργία χρηστών διαχειριστή και τον χειρισμό της βάσης δεδομένων, αλλά η κλοπή δεδομένων δεν είναι βιώσιμη μέσω αυτού.
“Μια ευπάθεια SQL Injection στο Fortra FileCatalyst Workflow επιτρέπει σε έναν εισβολέα να τροποποιήσει τα δεδομένα της εφαρμογής”, αναφέρει
Το δελτίο του Fortra
.
“Οι πιθανές επιπτώσεις περιλαμβάνουν τη δημιουργία διαχειριστών χρηστών και τη διαγραφή ή τροποποίηση δεδομένων στη βάση δεδομένων της εφαρμογής. Η εξαγωγή δεδομένων μέσω SQL injection δεν είναι δυνατή χρησιμοποιώντας αυτήν την ευπάθεια.”
Το ελάττωμα επηρεάζει τη ροή εργασίας FileCatalyst
5
.1.6 Build 135 και παλαιότερες εκδόσεις. Διορθώσεις έγιναν διαθέσιμες στο FileCatalyst Workflow 5.1.6 build 139, που είναι ο προτεινόμενος στόχος αναβάθμισης για τους χρήστες.
Η μη επαληθευμένη εκμετάλλευση απαιτεί επίσης να είναι ενεργοποιημένη η ανώνυμη πρόσβαση στο στιγμιότυπο προορισμού. Διαφορετικά, απαιτείται έλεγχος ταυτότητας για την εκμετάλλευση του CVE-2024-5276.
Δημόσια εκμετάλλευση
Ο Tenable ανακάλυψε το CVE-2024-5276 στις 15 Μαΐου 2024 και αποκάλυψε για πρώτη φορά το ζήτημα στη Fortra στις 22 Μαΐου, μαζί με ένα exploit απόδειξης της ιδέας (PoC) που καταδεικνύει την ευπάθεια.
Ταυτόχρονα με τη δημοσίευση του δελτίου ασφαλείας του Fortra,
Η Tenable δημοσίευσε την εκμετάλλευσή της
παρουσιάζοντας τον τρόπο με τον οποίο ένας ανώνυμος απομακρυσμένος εισβολέας μπορεί να πραγματοποιήσει ένεση SQL μέσω της παραμέτρου “jobID” σε διάφορα τελικά σημεία διεύθυνσης URL της εφαρμογής ιστού Workflow.
Το πρόβλημα είναι ότι η μέθοδος “findJob” χρησιμοποιεί ένα “jobID” που παρέχεται από τον χρήστη χωρίς να εξυγιάνει την είσοδο για να σχηματίσει τον όρο “WHERE” σε ένα ερώτημα SQL, επιτρέποντας σε έναν εισβολέα να εισαγάγει κακόβουλο κώδικα.
Το σενάριο του Tenable συνδέεται στην εφαρμογή FileCatalyst Workflow ανώνυμα και εκτελεί μια ένεση SQL μέσω της παραμέτρου “jobID” για να εισαγάγει έναν νέο χρήστη διαχειριστή (“χειριστή”) με γνωστό κωδικό πρόσβασης (“password123”).
Τελικά, ανακτά το διακριτικό σύνδεσης και χρησιμοποιεί τα διαπιστευτήρια διαχειριστή που δημιουργήθηκαν πρόσφατα για να συνδεθεί στο ευάλωτο τελικό σημείο.
Δεν υπήρξαν αναφορές για ενεργή εκμετάλλευση του ζητήματος, αλλά η κυκλοφορία ενός λειτουργικού exploit θα μπορούσε να αλλάξει αυτό πολύ σύντομα.
Στις αρχές του 2023, η συμμορία
ransomware
Clop εκμεταλλεύτηκε μια ευπάθεια Fortra GoAnywhere MFT
zero
-day, η οποία εντοπίστηκε ως CVE-2023-0669, σε επιθέσεις κλοπής δεδομένων για να εκβιάσει εκατοντάδες οργανισμούς που χρησιμοποιούν το προϊόν.
VIA:
bleepingcomputer.com
0