CVE-2021-38159

SQL Injection w Progress MOVEit Transfer — nieautoryzowany dostęp do bazy danych

CVSS 9.8v3.1pub. 2021-08-07upd. 2024-11-21

W aplikacji webowej Progress MOVEit Transfer wykryto krytyczną podatność typu SQL injection, umożliwiającą nieuwierzytelnionemu atakującemu zdalny dostęp do bazy danych. Zagrożenie dotyczy wielu wersji produktu i może prowadzić do ujawnienia, modyfikacji lub usunięcia danych.

▸ Pokaż oryginał (EN)

In certain Progress MOVEit Transfer versions before 2021.0.4 (aka 13.0.4), SQL injection in the MOVEit Transfer web application could allow an unauthenticated remote attacker to gain access to the database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database, or execute SQL statements that alter or delete database elements, via crafted strings sent to unique MOVEit Transfer transaction types. The fixed versions are 2019.0.8 (11.0.8), 2019.1.7 (11.1.7), 2019.2.4 (11.2.4), 2020.0.7 (12.0.7), 2020.1.6 (12.1.6), and 2021.0.4 (13.0.4).

🤖 Analiza AI

Jak działa

Atakujący wysyła specjalnie spreparowane ciągi znaków (crafted strings) do unikalnych typów transakcji w aplikacji webowej MOVEit Transfer, co pozwala na wstrzyknięcie złośliwych zapytań SQL. Podatność nie wymaga żadnego uwierzytelnienia ani interakcji użytkownika. W zależności od używanego silnika bazy danych (MySQL, Microsoft SQL Server lub Azure SQL) atakujący może odczytywać informacje o strukturze i zawartości bazy, a także wykonywać instrukcje SQL modyfikujące lub usuwające elementy bazy danych.

Skutki

Nieuwierzytelniony zdalny atakujący może uzyskać pełny dostęp do bazy danych, w tym odczytać poufne dane, zmodyfikować je lub trwale usunąć. W skrajnych przypadkach możliwe jest całkowite skompromitowanie integralności i poufności przechowywanych informacji.

Mitygacja

Należy niezwłocznie zaktualizować Progress MOVEit Transfer do jednej z poprawionych wersji: 2019.0.8 (11.0.8), 2019.1.7 (11.1.7), 2019.2.4 (11.2.4), 2020.0.7 (12.0.7), 2020.1.6 (12.1.6) lub 2021.0.4 (13.0.4). Szczegółowe informacje dostępne są w komunikacie producenta pod adresem community.progress.com.

Kogo dotyczy

Progress MOVEit Transfer we wszystkich wersjach przed: 2019.0.8 (11.0.8), 2019.1.7 (11.1.7), 2019.2.4 (11.2.4), 2020.0.7 (12.0.7), 2020.1.6 (12.1.6) oraz 2021.0.4 (13.0.4)

Uwagi

Podatność została opublikowana przez producenta 6 sierpnia 2021 r. w ramach dedykowanego komunikatu bezpieczeństwa (MOVEit Transfer Vulnerability August 6, 2021).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Progress Moveit Transfer
APP
Progress
< 2019.0.82019.1 – 2019.1.7 (bez)2019.2 – 2019.2.4 (bez)2020.0 – 2020.0.7 (bez)2020.1 – 2020.1.6 (bez)2021.0 – 2021.0.4 (bez)

🔵