CVE-2024-0204

Pominięcie uwierzytelniania w Fortra GoAnywhere MFT — tworzenie konta admina

CVSS 9.8v3.1pub. 2024-01-22upd. 2024-11-21

Krytyczna podatność w Fortra GoAnywhere MFT umożliwia nieuwierzytelnionemu atakującemu ominięcie mechanizmu uwierzytelniania i utworzenie konta administratora przez portal administracyjny. Podatność jest szczególnie groźna, ponieważ nie wymaga żadnych uprawnień ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Authentication bypass in Fortra's GoAnywhere MFT prior to 7.4.1 allows an unauthorized user to create an admin user via the administration portal.

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-425 (Direct Request / Forced Browsing) polega na tym, że aplikacja nie weryfikuje poprawnie tożsamości użytkownika przed udostępnieniem wrażliwych funkcji portalu administracyjnego. Nieuwierzytelniony atakujący może bezpośrednio odwołać się do odpowiedniego zasobu w portalu administracyjnym z pominięciem wymaganej procedury logowania. W efekcie możliwe jest wywołanie funkcji tworzenia nowego użytkownika z uprawnieniami administratora.

Skutki

Atakujący uzyskuje pełną kontrolę administracyjną nad systemem GoAnywhere MFT, co może prowadzić do nieautoryzowanego dostępu do przesyłanych plików, modyfikacji konfiguracji systemu oraz dalszego kompromitowania infrastruktury organizacji.

Mitygacja

Należy niezwłocznie zaktualizować Fortra GoAnywhere MFT do wersji 7.4.1 lub nowszej. Szczegółowe informacje dostępne są w oficjalnym biuletynie bezpieczeństwa Fortra (FI-2024-001) pod adresem fortra.com/security/advisory/fi-2024-001.

Kogo dotyczy

Fortra GoAnywhere MFT w wersjach wcześniejszych niż 7.4.1

Uwagi

Publicznie dostępne są exploity dla tej podatności, w tym proof-of-concept dotyczący nieuwierzytelnionego RCE, opublikowane w serwisie Packet Storm Security. Zaleca się pilne wdrożenie patcha nawet mimo braku potwierdzenia aktywnego wykorzystania w bazie CISA KEV.