Ein weiterer Tag, ein weiterer MFT-Exploit.
Im vergangenen Jahr haben MFT-Anwendungen (Managed File Transfer) einen bemerkenswerten Anstieg der Angriffe erlebt - ein Trend, über den wir bereits mehrfach berichtet haben. Diese Tools sind aus mehreren Gründen ein attraktives Ziel: Sie enthalten häufig sensible Daten und sind in der Regel so konzipiert, dass sie über eine über das Internet zugängliche Schnittstelle funktionieren. Letzteres verbessert zwar die Zugänglichkeit für den Benutzer, schafft aber auch oft zusätzliche Einstiegspunkte, zumal die Verwaltungsschnittstellen oft falsch konfiguriert sind, um den Zugriff aus dem öffentlichen Internet zu ermöglichen.
GoAnywhere MFT von Fortra ist ein solches Tool, das im vergangenen Jahr wegen CVE-2023-0669, einem Zero-Day, der von der Cl0p-Ransomware-Bande in großem Umfang ausgenutzt wurde, große Aufmerksamkeit erlangte.
GoAnywhere ist wieder in den Nachrichten, nachdem gestern ein PoC für eine neue Sicherheitslücke veröffentlicht wurde: CVE-2024-0204, ein kritischer Authentifizierungsumgehungsfehler, der es nicht authentifizierten Benutzern ermöglicht, über die Verwaltungskonsole Administratorkonten zu erstellen.
Der PoC zeigt, wie einfach diese Schwachstelle ist. Ein böswilliger Akteur kann einen Path Traversal Bug ausnutzen, um zum verwundbaren Endpunkt /InitialAccountSetup.xhtml umzuleiten und so den Bildschirm zur Einrichtung des GoAnywhere-Kontos zu öffnen. Beachten Sie, dass diese Schwachstelle die Verwaltungskonsole betrifft, nicht die Web-Client-Schnittstelle.
Während Fortra die Schwachstelle in GoAnywhere 7.4.1 im Dezember gepatcht hat, wurde erst vor wenigen Tagen ein öffentlicher Sicherheitshinweis veröffentlicht, was nach einem Trend zu versteckten Enthüllungen hinter Kunden-Logins einen Schritt in Richtung Transparenz darstellt.
Censys Feststellungen:
Mit Stand vom Mittwoch, 24. Januar, sieht Censys etwas weniger als 170 Hosts, die GoAnywhere MFT-Verwaltungsschnittstellen im öffentlichen Internet offenlegen. Dies ist zwar nicht das größte Ausmaß an Gefährdung, das wir je gesehen haben, aber angesichts der Art der in diesen Instanzen gespeicherten Daten gibt es Anlass zur Sorge. Die relativ geringe Anzahl von Hosts täuscht über den potenziellen Schaden hinweg, der durch eine einzige Kompromittierung entstehen könnte. In Anbetracht der Tatsache, wie leicht diese Instanzen zu finden sind und der Einfachheit des Exploits, gehen wir davon aus, dass alle exponierten, ungepatchten Instanzen wahrscheinlich gefährdet sein werden.
Eine verwundbare GoAnywhere MFT-Administratorschnittstelle, die dem Internet ausgesetzt ist
Die meisten dieser Verwaltungsschnittstellen laufen über die Standard-Port-Einstellungen - 8000 und 8001. Beachten Sie, dass es mehr als einen Dienst pro Host geben kann.
Diese Schnittstellen sind in den Vereinigten Staaten und in Europa besonders häufig anzutreffen.
Über 60 % dieser Schnittstellen werden in Amazon-, Microsoft- oder Google-Cloud-Netzwerken gehostet.
Wir erwarten eine Zunahme von Scans und Kompromittierungen von ungeschützten, ungepatchten GoAnywhere-MFT-Instanzen. Das sofortige Patchen ist entscheidend.
Es sieht so aus, als ob die Schwachstellen von GoAnywhere vorerst nicht mehr auftauchen werden.
