Un autre jour, un autre exploit MFT.
Au cours de l'année écoulée, les applications de transfert de fichiers gérés (MFT) ont connu une augmentation notable des attaques, une tendance que nous avons signalée à plusieurs reprises. Ces outils sont des cibles attrayantes pour de multiples raisons : ils hébergent souvent des données sensibles et sont généralement conçus pour fonctionner sur des interfaces accessibles par le web. Si ce dernier point améliore l'accessibilité des utilisateurs, il crée aussi souvent des points d'accès initiaux supplémentaires, d'autant plus que les interfaces d'administration sont souvent mal configurées pour permettre l'accès à partir de l'internet public.
GoAnywhere MFT de Fortra est l'un de ces outils qui a attiré l'attention l'année dernière en raison de la CVE-2023-0669, un jour zéro qui a été largement exploité par le gang du ransomware Cl0p.
GoAnywhere est de nouveau dans l'actualité après qu'un PoC ait été publié hier pour une nouvelle vulnérabilité : CVE-2024-0204, un bogue critique de contournement d'authentification qui permet à des utilisateurs non authentifiés de créer des comptes d'administrateur via la console d'administration.
Le PoC démontre à quel point cet exploit est facile à réaliser. Un acteur malveillant peut exploiter un bug de traversée de chemin pour rediriger vers le point de terminaison vulnérable /InitialAccountSetup.xhtml, révélant l'écran de configuration du compte initial de GoAnywhere. Notez que cette vulnérabilité affecte la console d'administration, et non l'interface client web.
Alors que Fortra a corrigé le problème dans GoAnywhere 7.4.1 en décembre, un avis de sécurité public n'a été publié qu'il y a quelques jours, ce qui constitue un pas en avant en matière de transparence après une tendance aux révélations cachées derrière les murs de connexion des clients.
Censys Résultats :
En date du mercredi 24 janvier, Censys constate qu'un peu moins de 170 hôtes exposent les interfaces administratives GoAnywhere MFT sur l'internet public. Bien qu'il ne s'agisse pas du niveau d'exposition le plus important que nous ayons rencontré, il soulève des inquiétudes compte tenu de la nature des données stockées dans ces instances. Le nombre relativement faible d'hôtes ne permet pas d'envisager les dommages potentiels qui pourraient résulter d'une seule compromission. Étant donné la facilité avec laquelle il est possible de les trouver et la simplicité de l'exploit, nous nous attendons à ce que toutes les instances exposées et non corrigées soient compromises.
Une interface administrateur GoAnywhere MFT vulnérable exposée à l'internet
La plupart de ces interfaces d'administration fonctionnent sur les ports par défaut - 8000 et 8001. Notez qu'il peut y avoir plus d'un service par hôte.
Nous constatons une présence notable de ces interfaces aux États-Unis et en Europe.
Plus de 60 % de ces interfaces sont hébergées dans les réseaux Amazon, Microsoft ou Google Cloud.
Nous nous attendons à une augmentation des analyses et à la compromission des instances GoAnywhere MFT exposées et non corrigées. Il est essentiel d'appliquer immédiatement les correctifs.
Il semble que les vulnérabilités de GoAnywhere soient, en fait, en voie de disparition pour le moment.
