Tin tặc sẵn sàng đi bất cứ đâu với lỗ hổng nghiêm trọng trong GoAnywhere MFT (CVE-2024-0204)

CVE-2024-0204, một khai thác bỏ qua xác thực quan trọng trong phần mềm Truyền tệp được quản lý (MFT) GoAnywhere của Fortra, cho phép người dùng trái phép tạo người dùng quản trị viên và vượt qua các yêu cầu xác thực. GoAnywhere MFT trước đây đã bị nhóm ransomware Clop nhắm mục tiêu với CVE-2023-0669.

Fortra đã phát hành lời khuyên bảo mật cho CVE-2024-0204 vào tháng 1 năm 2024 sau khi phát hành bản vá tháng 12 năm 2023. Mọi việc sử dụng các phiên bản Fortra GoAnywhere MFT trước 7.4.1 đều bị ảnh hưởng bởi lỗ hổng này. GoAnywhere MFT trước đây đã bị nhóm ransomware Clop nhắm mục tiêu với CVE-2023-0669.

CVE-2024-0204 là gì?

Fortra đã gọi lỗ hổng này là một lỗ hổng bảo mật trong giải pháp GoAnywhere MFT, lưu ý rằng việc khai thác này thể hiện điểm yếu CWE-425 Direct Request. GoAnywhere MFT cung cấp giải pháp truyền tệp từ xa với các lợi ích như tự động hóa và cải thiện bảo mật dữ liệu. Được sử dụng trong nhiều ngành công nghiệp, GoAnywhere hỗ trợ nhiều tiêu chuẩn tuân thủ và giao thức truyền tệp.

Điểm yếu của yêu cầu trực tiếp có nghĩa là công cụ không thực thi ủy quyền bắt buộc đối với quyền truy cập bị hạn chế. Với lỗ hổng GoAnywhere MFT, những kẻ tấn công chưa được xác thực có thể tạo một người dùng quản trị mới với tất cả các quyền quản trị được liên kết để di chuyển đường dẫn, quyền đọc và ghi cũng như thực thi lệnh.

CVE-2024-0204 theo sau CVE-2023-0669 năm ngoái (điểm CVSS là 7,2), cũng ảnh hưởng đến GoAnywhere MFT như một lỗ hổng chèn lệnh trước khi xác thực. CVE-2023-0669 yêu cầu một bản vá khẩn cấp để bảo vệ chống lại việc chèn mã dẫn đến việc thực thi mã từ xa. Lỗ hổng chèn mã đã bị nhóm ransomware Clop khai thác vào tháng 1 năm 2023, dẫn đến vi phạm dữ liệu cho 130 công ty sử dụng GoAnywhere MFT. Để biết thêm thông tin về CVE-2023-0669, hãy xem tóm tắt cuộc điều tra của Fortra.

Lỗ hổng xác thực bỏ qua, hiện đang chờ phân tích trong Cơ sở dữ liệu lỗ hổng quốc gia, đã được gắn nhãn CVE-2024-0204. Fortra đã đặt điểm CVSS quan trọng là 9,8 (trên 10), cho biết mức độ nghiêm trọng của lỗ hổng theo Hệ thống chấm điểm lỗ hổng phổ biến.

Trong tư vấn bảo mật ngày 22 tháng 1 năm 2024, Fortra thừa nhận phát hiện ban đầu vào ngày 1 tháng 12 năm 2023 bởi Mohammed Eldeeb và Islam Elrfai từ Spark Engineering Consultants. Một bản vá nhanh chóng được phát hành sau đó, với phiên bản cập nhật của phần mềm có sẵn vào ngày 7 tháng 12 năm 2023. Fortra đã tuyên bố rằng họ chưa nhận được báo cáo về việc khai thác tích cực sau bản vá.

Cách xác minh các dấu hiệu xâm phạm tiềm năng

Mặc dù tài liệu của GoAnywhere được giới hạn cho khách hàng hiện tại, nhưng hướng dẫn cài đặt cho các phiên bản trước của phần mềm chỉ ra rằng các cổng quản trị mặc định bao gồm [.rt-script]8000[.rt-script] cho kết nối HTTP và [.rt-script]8001[.rt-script] cho các yêu cầu HTTPS an toàn. Bảng điều khiển quản trị dựa trên web cho GoAnywhere MFT có nghĩa là có thể khai thác bỏ qua xác thực nếu bảng điều khiển có thể truy cập qua internet công cộng.

Trong hầu hết các trường hợp, bảng điều khiển quản trị được giới hạn ở mạng riêng, thông qua truy cập VPN hoặc theo địa chỉ IP được phép. Tuy nhiên, vì giải pháp này cung cấp khả năng truyền tệp được quản lý và các công ty có thể sử dụng dịch vụ này cho dữ liệu nhạy cảm cao, nên việc truy cập trái phép vào cài đặt quản trị có khả năng gây ra các vấn đề quan trọng đối với doanh nghiệp.

Nếu bảng quản trị GoAnywhere của bạn có thể truy cập được từ internet công cộng và bạn chưa nâng cấp lên phiên bản vá, bạn nên nâng cấp dịch vụ ngay lập tức và đánh giá các chỉ số xâm nhập tiềm ẩn (IOC).

IOC tiềm năng cho CVE-2024-0204:

• Truy cập điểm cuối tạo tài khoản quản trị viên của bạn từ bên ngoài vành đai của bạn (bên ngoài mạng nội bộ của bạn, ngoài VPN hoặc từ địa chỉ IP trái phép). Nếu bạn có thể tạo người dùng quản trị mới mà không cần xác thực người dùng, dịch vụ của bạn có thể bị xâm phạm.
• Xem lại nhóm [.rt-script]Admin Users[.rt-script] trong bảng điều khiển quản trị. Các bổ sung mới trái phép báo hiệu kẻ tấn công có thể đã xâm phạm dịch vụ của bạn.
• Xem lại nhật ký của bạn tại [.rt-script]\GoAnywhere\userdata\database\goanywhere\log\*.log[.rt-script] để biết bất kỳ mục nào cho biết người dùng mới tạo. Đảm bảo xem lại nhật ký ngay cả khi nhóm Người dùng quản trị của bạn không có người dùng mới vì kẻ tấn công có thể đã xóa người dùng trái phép sau khi họ có quyền truy cập vào hệ thống.

Cách bảo vệ chống CVE-2024-0204

Nếu bạn chưa nâng cấp lên phiên bản 7.4.1 trở lên, hãy làm như vậy ngay lập tức. Bản cập nhật phiên bản của Fortra bao gồm một biện pháp khắc phục cho lỗ hổng này. Khách hàng của Fortra có thể truy cập tư vấn khách hàng trong cổng thông tin khách hàng.

Tư vấn công khai của Fortra bao gồm hai giải pháp bổ sung để loại bỏ lỗ hổng:

• Đối với triển khai không phải vùng chứa, hãy xóa tệp [.rt-script]InitialAccountSetup.xhtml[.rt-script] trong thư mục cài đặt và khởi động lại các dịch vụ.
• Đối với triển khai dựa trên vùng chứa, hãy thay thế tệp [.rt-script]InitialAccountSetup.xhtml[.rt-script] bằng tệp trống và khởi động lại các dịch vụ.

Ngoài việc giảm thiểu lỗ hổng, bạn nên xem lại nhật ký của mình để biết các dấu hiệu xâm phạm nói trên. Nếu bạn xác định các hoạt động không mong muốn, hãy hành động ngay lập tức theo kế hoạch ứng phó sự cố của bạn và liên lạc trực tiếp với Fortra về vấn đề này.

Việc giám sát liên tục bề mặt tấn công bên ngoài của bạn có thể giúp bạn thực hiện các biện pháp chủ động chống lại bất kỳ lỗ hổng tiềm ẩn nào đã biết và chưa biết, bao gồm cả CVE-2024-0204 của GoAnywhere. UpGuard duy trì thư viện lỗ hổng bảo mật cho khách hàng sử dụng BreachSight và Rủi ro nhà cung cấp. Chúng tôi hiện đang theo dõi tình hình để biết thêm thông tin khi chúng tôi thêm lỗ hổng bỏ qua xác thực GoAnywhere vào thư viện lỗ hổng bảo mật của UpGuard.