Lỗ hổng zero-day MFT của GoAnywhere cho phép tin tặc xâm phạm máy chủ

Các nhà phát triển giải pháp truyền tệp GoAnywhere MFT đang cảnh báo khách hàng về lỗ hổng thực thi mã từ xa zero-day trên bảng điều khiển dành cho quản trị viên bị lộ.

GoAnywhere là một giải pháp truyền tệp web an toàn cho phép các công ty chuyển các tệp được mã hóa một cách an toàn với các đối tác của họ trong khi vẫn giữ nhật ký kiểm tra chi tiết về những người đã truy cập tệp.

Lời khuyên bảo mật GoAnywhere lần đầu tiên được công bố bởi phóng viên  Brian Krebs , người đã đăng một bản sao trên Mastodon.

Một khách hàng nhận được thông báo đã nói với BleepingComputer rằng điều này đang ảnh hưởng đến cả việc triển khai tại chỗ và SaaS của GoAnywhere nhưng chúng tôi không thể xác nhận điều này một cách độc lập vào lúc này.

Theo lời khuyên bảo mật, việc khai thác yêu cầu quyền truy cập vào bảng điều khiển quản trị, thông thường không được tiếp xúc với internet. 

"Khai thác Tiêm mã từ xa Zero-Day đã được xác định trong GoAnywhere MFT," tư vấn bảo mật GoAnywhere cảnh báo.

"Vectơ tấn công của khai thác này yêu cầu quyền truy cập vào bảng điều khiển quản trị của ứng dụng, trong hầu hết các trường hợp, chỉ có thể truy cập từ bên trong mạng công ty tư nhân, thông qua VPN hoặc bằng các địa chỉ IP được liệt kê cho phép (khi chạy trong môi trường đám mây, chẳng hạn như Azure hoặc AWS)."

Vì hiện tại không có bản vá nào cho lỗ hổng zero-day, Fortra kêu gọi các quản trị viên áp dụng biện pháp giảm thiểu sau:

1. Trên hệ thống tệp đã cài đặt GoAnywhere MFT, hãy chỉnh sửa tệp "[install_dir]/adminroot/WEB_INF/web.xml."
2. Tìm và xóa (xóa hoặc nhận xét) cấu hình ánh xạ servlet và servlet sau trong ảnh chụp màn hình bên dưới.
3. Khởi động lại ứng dụng GoAnywhere MFT.

Tại thời điểm này, không có cách nào khác để giảm thiểu các cuộc tấn công vì Fortra chưa cung cấp bản cập nhật bảo mật. 

Fortra cũng đã tạm thời đóng giải pháp SaaS của mình trong khi họ giải quyết lỗi.

Công ty cũng khuyến nghị Quản trị viên thực hiện kiểm tra cài đặt của họ, bao gồm:

• Kiểm tra xem liệu các tài khoản quản trị viên mới, không xác định có được tạo bởi 'hệ thống' hay không và liệu "Nhật ký kiểm tra quản trị viên có hiển thị một siêu người dùng không tồn tại hoặc bị vô hiệu hóa đang tạo tài khoản này hay không."
• Tìm kiếm hoạt động trong Nhật ký quản trị (Báo cáo -> Nhật ký kiểm tra -> Quản trị). Tìm kiếm bất cứ thứ gì được tạo bởi người dùng root.

Chuyên gia bảo mật  Kevin Beaumont  đã thực hiện quét Shodan để xác định có bao nhiêu phiên bản GoAnywhere bị lộ trên internet và tìm thấy 1.008 máy chủ, chủ yếu ở Hoa Kỳ.

Tuy nhiên, Beaumont nói rằng hầu hết các bảng điều khiển dành cho quản trị viên đều sử dụng các cổng 8000 và 8001, trong đó BleepingComputer chỉ thấy 151 được hiển thị.

Kết quả quét Shodan cho GoAnywhere MFT  

Mặc dù bề mặt tấn công có vẻ hạn chế, nhưng điều quan trọng cần lưu ý là các tổ chức lớn sử dụng các sản phẩm này để chuyển các tệp nhạy cảm với các đối tác của họ.

BleepingComputer đã xác định chính quyền địa phương, công ty chăm sóc sức khỏe, ngân hàng, công ty năng lượng, công ty dịch vụ tài chính, viện bảo tàng và nhà sản xuất linh kiện máy tính sử dụng giải pháp truyền tệp GoAnywhere.

Do đó, ngay cả một vi phạm duy nhất tận dụng lỗ hổng zero-day của GoAnywhere MFT cũng có thể làm rò rỉ thông tin nhạy cảm có thể được sử dụng để tống tiền.

Kịch bản chính xác này đã được nhìn thấy trong vụ hack Accellion FTA  (Công cụ truyền tệp) năm 2021 của nhóm ransomware Clop, đã ảnh hưởng đến nhiều công ty nổi tiếng trên toàn thế giới.

BleepingComputer đã liên hệ với Fortra để hỏi thêm chi tiết về việc liệu các cuộc tấn công có được khai thác tích cực hay không và chúng tôi sẽ cập nhật bài đăng này ngay khi nhận được phản hồi.

Mời quý khách đặt trước (trả sau) để nv tiện gọi lại tư vấn bằng livestream cụ thể cho khách chụp màn hình để đồng kiểm. Công Tắc Công Suất Cao Tuya Wifi 20a Lắp Bình Nóng Lạnh mua ở đây sẽ được bảo hành 36 tháng + bh mở rộng, bh rơi vở vô nước chạm cháy tại trungtambaohanh.com, phục vụ 24/7 tại nhà nhằm đảm bảo tối đa tính an toàn riêng tư dữ liệu cho người dùng, chỉ cần đặt hàng trước 24h quý khách được tặng gói bảo hiểm phần cứng và phần mềm.