Progress MOVEit Transfer < 2020.0 / 2020.1 / 2021.0 < 2021.0.6 / 2021.1.0 < 2021.1.4 / 2022.0.0 < 2022.0.4 / 2022.1.0 < 2022.1.5 / 2023.0.0 < 2023.0.1 重大な脆弱性 (2023 年 5 月)
critical Nessus プラグイン ID 176567
Language:
概要
リモートホストにインストールされているアプリケーションは、複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている Progress MOVEit Transfer (旧称: Ipswitch MOVEit DMZ) のバージョンは < 2020.0 / 2020.1 / 2021.0 < 2021.0.6、2021.1.4、2022.0.4、2022.1.5 より前、または 2023.0.1 です。したがって、Progress Community の記事 000234532 に記載されている、SQL インジェクションの脆弱性の影響を受けます。- MOVEit Transfer Web アプリケーションに SQL インジェクションの脆弱性が見つかりました。これにより、認証されていない攻撃者が MOVEit Transfer のデータベースに不正アクセスする可能性があります。使用しているデータベースエンジン (MySQL、Microsoft SQL Server、Azure SQL) によっては、攻撃者はデータベース要素を変更または削除する SQL ステートメントを実行するだけでなく、データベースの構造や内容に関する情報を推測できる可能性があります。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Progress MOVEit Transfer バージョン 2021.0.6、2021.1.4、2022.0.4、2022.1.5、2023.0.1 以降にアップグレードするか、バージョン 2020.1.x 用の特別なパッチを適用してください。参考資料
プラグインの詳細
深刻度: Critical
ID: 176567
ファイル名: progress_moveit_transfer_15_0_1_37.nasl
バージョン: 1.8
タイプ: local
エージェント: windows
ファミリー: Windows
公開日: 2023/6/1
更新日: 2023/8/28
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.2
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.3
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-34362
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:ipswitch:moveit_dmz, cpe:/a:ipswitch:moveit_transfer, cpe:/a:progress:moveit_transfer
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2023/5/31
脆弱性公開日: 2023/5/31
CISA の既知の悪用された脆弱性の期限日: 2023/6/23
エクスプロイト可能
Core Impact
Metasploit (MOVEit SQL Injection vulnerability)
参照情報
CVE: CVE-2023-34362