Progress MOVEit Transfer contient une vulnérabilité d'injection SQL qui pourrait permettre à un attaquant non authentifié d'accéder sans autorisation à la base de données de MOVEit Transfer. Selon le moteur de base de données utilisé (MySQL, Microsoft SQL Server ou Azure SQL), un attaquant pourrait être en mesure d'inférer des informations sur la structure et le contenu de la base de données en plus d'exécuter des instructions SQL qui modifient ou suppriment des éléments de la base de données.
Action requise :Appliquer les mises à jour selon les instructions de l'éditeur.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
Code d’exploitation public : signalé par la NVD.
Versions concernées
moveit cloud : versions < 14.0.5.45
moveit cloud : versions ≥ 14.1.0.0 et < 14.1.6.97
moveit cloud : versions ≥ 15.0.0.0 et < 15.0.2.39
moveit transfer : versions < 2021.0.7
moveit transfer : versions ≥ 2021.1.0 et < 2021.1.5
moveit transfer : versions ≥ 2022.0.0 et < 2022.0.5
moveit transfer : versions ≥ 2022.1.0 et < 2022.1.6
moveit transfer : versions ≥ 2023.0.0 et < 2023.0.2
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Injection SQL (CWE-89) : Le produit construit tout ou partie d'une commande SQL en utilisant des entrées influencées par l'extérieur d'un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la commande SQL prévue lorsqu'elle est envoyée à un composant aval.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Progress MOVEit Transfer SQL Injection Vulnerability
Progress MOVEit Transfer contains a SQL injection vulnerability that could allow an unauthenticated attacker to gain unauthorized access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database in addition to executing SQL statements that alter or delete database elements.
Required action: Apply updates per vendor instructions.