研究人员发布 MOVEit RCE 漏洞的概念验证 媒体

MOVEit Transfer 漏洞分析

关键要点

漏洞概述：Progress Software 的 MOVEit Transfer 文件传输应用存在 SQL 注入漏洞，可导致远程代码执行，影响所有版本。攻击者利用：Clop 勒索软件团伙已在现实中利用此漏洞，早在 2021 年便开始测试。修复措施：Progress Software 于 5 月 31 日披露了漏洞并发布了补丁，后续又发现并修复了第二个漏洞。研究发现：Horizon3ai 与 Rapid7 两家研究机构独立进行了漏洞概念验证，均指出了多个攻击路径。

网络安全研究人员目前正深入研究一个引人关注的漏洞：Progress Software 的 MOVEit Transfer 文件传输应用中存在的严重 bug，该漏洞可能导致攻击者进行远程代码执行。

Horizon3ai和Rapid7的研究人员分别发布了 SQL 注入的概念验证，表明已经被 Clop 勒索软件团伙 在现实中利用。部分人士认为该漏洞早在2021年就已被犯罪团伙进行测试。

Progress Software 于 5 月 31 日 公开披露了该漏洞并发布了补丁，同时在调查第一个漏洞时还披露了第二个漏洞并发布了另一份补丁。

这一关键漏洞被追踪为 CVE202334362，允许未认证的攻击者未经授权访问 MOVEit 数据库。攻击者可以向 MOVEit Transfer 应用程序接口提交精心构造的有效载荷，从而导致内容的修改和泄露。所有版本的 MOVEit Transfer 都受到此漏洞的影响。

6月9日，Horizon3ai的Zach Hanley 比较了打补丁和未打补丁的版本，指出了三个值得注意的变化。首先是 SQL 查询的更新，从多个参数的连接字符串更改为更安全的 SQL 构建器实用程序。其次，移除了整个函数“SetAllSessionVarsFromHeadres()”，并在接收到“Transaction”是“sessionsetvars”时从 machine2aspx 处理程序 “SILMachine2” 中移除了该函数的唯一调用者。最后一个变化出现在 “GetFileUploadInfo()” 中，添加了一条检查“State” 是否为 null 的语句，再使用新的解密助手 “DecryptBytesForDatabase”。

Horizon3ai 研究人员能够开发出他们自己的利用路径，但 Hanley 指出，这只是攻击者可用的几条路径之一，防御者也可能会在多个不同的位置发现妥协的指标IOC。Horizon3ai 的 POC 代码 可在 GitHub 上找到。

Hanley 写道：“[L]ooking at public threat intelligence about the series of endpoints being hit and the types of indicators of compromise we aren’t entirely sure the path we’ve found is the exact same abuse of the patched functionality mixed with abuse of intended functionality 他补充道：“可能有多个利用路径许多路径相似，但这是我们的路径。”

Rapid7 的研究人员也在这里发布了他们自己的 POC和IOC。他们同样找到了多种不同的方式来利用 SQL 注入，技术分析指出“有多种方式可以继续，”在开发出初步解决方案后，研究团队“随后又开发了更好的解决方案。”

能上twitter的加速器