После шторма MOVEit: новые ошибки Progress Software стали очередным кризисом компании

Компания Progress Software , разработчик платформы для обмена файлами MOVEit Transfer , недавно ставшей объектом массовых кибератак с целью кражи данных, призвала своих клиентов устранить критическую уязвимость в программном обеспечении WS_FTP Server .

Согласно заявлению компании, тысячи IT-команд по всему миру используют корпоративное ПО WS_FTP Server для безопасной передачи файлов. Сейчас Progress раскрыла несколько уязвимостей, затрагивающих интерфейс менеджера и модуль Ad Hoc Transfer данного ПО.

На этой неделе были устранены уязвимости WS_FTP Server, две из которых были оценены как критические:

• CVE-2023-40044 (CVSS: 10) позволяет неаутентифицированному хакеру выполнять удаленные команды после успешной эксплуатации уязвимости десериализации .NET в модуле Ad Hoc Transfer.
• CVE-2023-42657 (CVSS: 9.9)— уязвимость обхода каталога, которая позволяет киберпреступнику выполнять файловые операции за пределами авторизованного пути к папке WS_FTP. Как отметила Progress, хакер может также выйти из контекста структуры файлов WS_FTP Server и выполнять те же операции (удаление, переименование, удаление каталогов, создание новых каталогов) над расположением файлов и папок в базовой операционной системе.

Отмечается, что киберпреступник может эксплуатировать оба недостатка в атаках с низкой сложностью, которые не требуют взаимодействия пользователя.

Progress рекомендует пользователям обновиться до последней исправленной версии 8.8.2, как единственный способ устранения проблем. Отмечается, что во время обновления в системе произойдет сбой. Также была предоставлена информация о том, как удалить или отключить уязвимый модуль Ad Hoc Transfer, если он не используется.

Следует отметить, что Progress все еще борется с последствиями серии атак, начавшейся с эксплуатации нулевого дня в платформе MOVEit Transfer для кражи данных из уязвимых сетей. Среди пострадавших – крупные корпорации и государственные агентства США, в том числе Департамент энергетики США , Shell , Deutsche Bank и PwC .