【漏洞通告】Progress MOVEit Transfer SQL注入漏洞（CVE-2023-35036）
發布時間 2023-06-13一、漏洞概述
CVE ID | CVE-2023-35036 | 發現時間 | 2023-06-12 |
類 型 | SQL注入 | 等 級 | 高危 |
攻擊向量 | 網絡 | 所需權限 | 無 |
攻擊復雜度 | 低 | 用戶交互 | 無 |
PoC/EXP | 未公開 | 在野利用 | 未發現 |
MOVEit Transfer是Progress的托管文件傳輸應用程序，可在所有標準協議、防篡改功能、安全消息和包交換、以及安全文件夾共享上提供安全的 SFTP/S 和 HTTPS 數據傳輸服務。
6月12日，啟明星辰VSRC監測到Progress發布安全公告，披露了Progress MOVEit Transfer中的一個SQL注入漏洞（CVE-2023-35036）。
MOVEit Transfer web應用程序中存在SQL注入漏洞，可在未經身份驗證的情況下利用該漏洞獲得對 MOVEit Transfer 數據庫的未授權訪問?？梢酝ㄟ^向MOVEit Transfer 應用程序端點提交惡意設計的Payload來利用該漏洞，可能導致修改或泄露 MOVEit數據庫內容。
二、影響范圍
Progress MOVEit Transfer 2021.0.x版本：< 2021.0.7（13.0.7）
Progress MOVEit Transfer 2021.1.x版本：< 2021.1.5（13.1.5）
Progress MOVEit Transfer 2022.0.x版本：< 2022.0.5（14.0.5）
Progress MOVEit Transfer 2022.1.x版本：< 2022.1.6（14.1.6）
Progress MOVEit Transfer 2023.0.x版本：< 2023.0.2（15.0.2）
Progress MOVEit Transfer 2020.1.x版本
Progress MOVEit Transfer 2020.0.x及之前版本
三、安全措施
3.1 升級版本
目前該漏洞已經修復，受影響用戶可升級到以下版本：
Progress MOVEit Transfer 2021.0.x版本：2021.0.7（13.0.7）
Progress MOVEit Transfer 2021.1.x版本：2021.1.5（13.1.5）
Progress MOVEit Transfer 2022.0.x版本：2022.0.5（14.0.5）
Progress MOVEit Transfer 2022.1.x版本：2022.1.6（14.1.6）
Progress MOVEit Transfer 2023.0.x版本：2023.0.2（15.0.2）
Progress MOVEit Transfer 2020.1.x版本：提供特殊補丁
Progress MOVEit Transfer 2020.0.x及之前版本：升級到受支持版本
下載鏈接：
https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023
3.2 臨時措施
l 尚未安裝2023年5月的MOVEit Transfer SQL注入漏洞（CVE-2023-34362）的補丁的用戶可參考以下鏈接中的所有補救步驟和補丁進行修復（同時包含CVE-2023-34362和CVE-2023-35036的補丁和緩解措施）：
https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023
l 已安裝2023年5月補丁并遵循補救步驟的用戶可繼續應用CVE-2023-35036的補丁和緩解措施，詳情可參考官方公告。
3.3 通用建議
l 定期更新系統補丁，減少系統漏洞，提升服務器的安全性。
l 加強系統和網絡的訪問控制，修改防火墻策略，關閉非必要的應用端口或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
l 使用企業級安全產品，提升企業的網絡安全性能。
l 加強系統用戶和權限管理，啟用多因素認證機制和最小權限原則，用戶和軟件權限應保持在最低限度。
l 啟用強密碼策略并設置為定期修改。
3.4 參考鏈接
https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-Pending-Reserve-Status-June-9-2023
https://thehackernews.com/2023/06/new-critical-moveit-transfer-sql.html
四、版本信息
版本 | 日期 | 備注 |
V1.0 | 2023-06-13 | 首次發布 |
五、附錄
5.1 公司簡介
啟明星辰成立于1996年，是由留美博士嚴望佳女士創建的、擁有完全自主知識產權的信息安全高科技企業。是國內最具實力的信息安全產品、安全服務解決方案的領航企業之一。
公司總部位于北京市中關村軟件園啟明星辰大廈，公司員工6000余人，研發團隊1200余人, 技術服務團隊1300余人。在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系。公司于2010年6月23日在深圳中小板掛牌上市。（股票代碼：002439）
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
5.2 關于我們
啟明星辰安全應急響應中心已發布1000多個漏洞通告和風險預警，我們將持續跟蹤全球最新的網絡安全事件和漏洞，為企業的信息安全保駕護航。
關注我們：
京公網安備11010802024551號