Bleeping Computer 網(wǎng)站披露，CISA 將 Progress MOVEit Transfer 管理文件傳輸（MFT）解決方案中一個(gè)安全漏洞添加到其已知被利用漏洞列表中，并命令美國聯(lián)邦機(jī)構(gòu)在 6 月 23 日前修補(bǔ)其系統(tǒng)。

該關(guān)鍵安全漏洞被追蹤為 CVE-2023-34362，是一個(gè) SQL 注入漏洞，未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者能夠利用其訪問 MOVEit Transfer 的數(shù)據(jù)庫并執(zhí)行任意代碼。

根據(jù)具有約束力的操作指令（BOD 22-01），一旦將某個(gè)安全漏洞添加到 CISA 已知被利用漏洞目錄中，聯(lián)邦民事行政分支機(jī)構(gòu)（FCEB）必須修補(bǔ)該漏洞。值得一提的是，雖然 BOD 22-01 主要針對(duì)聯(lián)邦機(jī)構(gòu)，但強(qiáng)烈建議私營公司同樣優(yōu)先保護(hù)其系統(tǒng)免受 MOVEit 傳輸漏洞的影響。

Progress 建議所有客戶給他們的 MOVEit Transfer 實(shí)例打補(bǔ)丁，以阻止?jié)撛诘陌踩L(fēng)險(xiǎn)，對(duì)于那些不能立即應(yīng)用安全更新的客戶也可以禁用所有通往其 MOVEit Transfer 環(huán)境的 HTTP 和 HTTPS 流量。

受影響的 MOVEit Transfer 版本和固定版本列表如下。

目前，互聯(lián)網(wǎng)上有超過 2500 臺(tái) MOVEit 傳輸服務(wù)器，其中大部分位于美國。據(jù) Mandiant 公司首席技術(shù)官 Charles Carmakal 稱至少從 5 月 27 日開始，網(wǎng)絡(luò)攻擊者就一直在利用 CVE-2023-34362 漏洞，這一時(shí)間比 Progress 公司公開披露并測(cè)試脆弱系統(tǒng)安全補(bǔ)丁的節(jié)點(diǎn)早四天。

Carmakal 告訴 BleepingComputer，在過去幾天發(fā)生多起大規(guī)模漏洞利用和數(shù)據(jù)盜竊事件，Mandiant 還不清楚攻擊者的犯罪動(dòng)機(jī)，企業(yè)應(yīng)該為數(shù)據(jù)泄露和潛在的勒索做好心里準(zhǔn)備。

網(wǎng)絡(luò)攻擊者能夠利用漏洞進(jìn)行多種攻擊

BleepingComputer 獲悉，在新發(fā)現(xiàn)的網(wǎng)絡(luò)外殼（Mandiant 稱之為 LemurLoot）的幫助下，攻擊者已經(jīng)攻破多個(gè)組織，盜取了大量數(shù)據(jù)。LemurLoot 能夠幫助攻擊者獲取包括可用于從受害者的 Azure Blob Storage 容器中滲出數(shù)據(jù)登錄憑證等在內(nèi)的多個(gè) Azure Blob Storage 賬戶信息。

Mandiant 還發(fā)現(xiàn)針對(duì) MOVEit 傳輸服務(wù)器的攻擊與 FIN11威脅團(tuán)伙之間可能存在聯(lián)系，該組織以在其他文件傳輸系統(tǒng)中利用零日漏洞后，通過 Clop 勒索軟件的泄漏網(wǎng)站進(jìn)行數(shù)據(jù)盜竊勒索而聞名。

截至目前，由于攻擊者還沒有開始勒索受害者，對(duì)于他們的詳細(xì)身份信息尚不可知。此外，對(duì)于 CVE-2023-34362 漏洞的利用與 2020 年 12 月對(duì) Accelion FTA 服務(wù)器的零日漏洞利用和 2023 年 1 月對(duì) GoAnywhere MFT 零日漏洞大規(guī)模利用高度相似。 GoAnywhere MFT 和 Accelion FTA 被臭名昭著的 Clop 勒索軟件團(tuán)伙盯上后，被竊取了大量數(shù)據(jù)并成為了勒索攻擊受害者。

文章來源：https://www.bleepingcomputer.com/news/security/cisa-orders-govt-agencies-to-patch-moveit-bug-used-for-data-theft/