Progress, MOVEit Transfer için üç güvenlik açığını gideren bir hizmet paketi yayınladı. Geliştiriciler birini kritik olarak derecelendirir. Siber çete Cl0p, kısa bir süre önce MOVEit Transfer’deki kritik güvenlik açıklarını kötüye kullandığından, BT yöneticileri mevcut güncellemeleri hızlı bir şekilde uygulamalıdır.
Duyuru
Güncellemenin doldurduğu üç boşluktan. geliştiriciler bir kritik ve iki yüksek riskli olduğunu düşünüyor. Bir SQL enjeksiyon güvenlik açığı, kimliği doğrulanmamış saldırganların MOVEit Transfer veritabanına erişmesine olanak tanır. MOVEit uç noktalarında özenle hazırlanmış paketler ile veritabanını değiştirebilir ve bilgileri izinsiz okuyabilirler (CVE-2023-36934, henüz CVSS değeri yok, İlerlemeye göre risk)”eleştirmen“).
MOVEit Transfer: Bir kritik güvenlik açığı, iki yüksek risk
Benzer bir güvenlik açığı, kimliği doğrulanmış saldırganlara aynı fırsatları sağlar (CVE-2023-36932, CVSS değeri yok, risk “yüksekEk olarak, saldırganlar Hizmet Reddine neden olabilir: İşlenmeyen bir istisna, MOVEit Transfer uygulamasının beklenmedik şekilde kapanmasına neden olabilir (CVE-2023-36933, CVSS değeri yok, yüksek).
Progress’ten gelen güvenlik bildirimine göre, MOVEit Transfer güncellenmiş yazılım sürümleri 2020.1.7, 2021.0.9, 2021.1.7, 2022.0.7, 2022.1.8 ve 2023.0.4 mevcuttur ve güvenlik açıkları kapatılmıştır. Hâlâ 2020.0.x veya önceki bir sürümü kullanıyorsanız, güvende olmak için hâlâ desteklenen sürümlere yükseltmeniz gerekir.
Bir MOVEit Transfer güvenlik açığının siber çete Cl0p tarafından istismar edildiğinin keşfedilmesinden kısa bir süre sonra Progress, kritik yazılım güvenlik açıklarını düzeltmek için üç güncelleme yayınlamıştı. Ernst & Young, PricewaterhouseCoopers, Schneider Electric ve Siemens Energy gibi büyük ve ünlü şirketler siber suçluların kurbanları arasında yer alıyor.
(dmk)
Haberin Sonu
Duyuru
Güncellemenin doldurduğu üç boşluktan. geliştiriciler bir kritik ve iki yüksek riskli olduğunu düşünüyor. Bir SQL enjeksiyon güvenlik açığı, kimliği doğrulanmamış saldırganların MOVEit Transfer veritabanına erişmesine olanak tanır. MOVEit uç noktalarında özenle hazırlanmış paketler ile veritabanını değiştirebilir ve bilgileri izinsiz okuyabilirler (CVE-2023-36934, henüz CVSS değeri yok, İlerlemeye göre risk)”eleştirmen“).
MOVEit Transfer: Bir kritik güvenlik açığı, iki yüksek risk
Benzer bir güvenlik açığı, kimliği doğrulanmış saldırganlara aynı fırsatları sağlar (CVE-2023-36932, CVSS değeri yok, risk “yüksekEk olarak, saldırganlar Hizmet Reddine neden olabilir: İşlenmeyen bir istisna, MOVEit Transfer uygulamasının beklenmedik şekilde kapanmasına neden olabilir (CVE-2023-36933, CVSS değeri yok, yüksek).
Progress’ten gelen güvenlik bildirimine göre, MOVEit Transfer güncellenmiş yazılım sürümleri 2020.1.7, 2021.0.9, 2021.1.7, 2022.0.7, 2022.1.8 ve 2023.0.4 mevcuttur ve güvenlik açıkları kapatılmıştır. Hâlâ 2020.0.x veya önceki bir sürümü kullanıyorsanız, güvende olmak için hâlâ desteklenen sürümlere yükseltmeniz gerekir.
Bir MOVEit Transfer güvenlik açığının siber çete Cl0p tarafından istismar edildiğinin keşfedilmesinden kısa bir süre sonra Progress, kritik yazılım güvenlik açıklarını düzeltmek için üç güncelleme yayınlamıştı. Ernst & Young, PricewaterhouseCoopers, Schneider Electric ve Siemens Energy gibi büyük ve ünlü şirketler siber suçluların kurbanları arasında yer alıyor.
(dmk)
Haberin Sonu