MOVEit文件传输应用程序的新漏洞警告

关键要点

Progress Software 最近披露了三项新漏洞，包括一个被标记为关键的 SQL 注入缺陷。受影响版本包括多个 2020 和 2023 年间的 MOVEit Transfer 版本。上个月已经有大量公司因类似漏洞遭到攻击，数据泄露事件频发。用户需及时更新以确保数据安全。

Progress Software 是 MOVEit 文件传输应用程序的开发者，该应用程序因在 5 月和 6 月期间被多个漏洞的利用卷入了数百家公司，而近期他们又披露了三项新漏洞，其中包括一个被标记为关键的 SQL 注入缺陷，以及另外两个高严重性漏洞。

新的 SQL 漏洞的 CVE 条目CVE202336934于 7 月 5 日发布，影响 MOVEit Transfer 的网络应用程序。该漏洞允许攻击者通过提交恶意负载访问数据库，从而能够查看或修改内容。

免费机场clash

这一漏洞是由 Guy Lederfein 在 Trend Micro 的零日项目中发现的，影响 MOVEit Transfer 版本包括但不限于 202011112111、2021091309、2021171317、2022071407、2022181418和 2023041504。

此外，昨天 Progress Software 还披露了其他两个高严重性漏洞。

第一个漏洞CVE202336932描述了“多个” SQL 漏洞，可能导致数据库内容的泄露和修改，同样影响上述版本。在发现这一漏洞的过程中，公司感谢了 HackerOne 上的漏洞猎人 cchav3z、nicolaszilio、hoangha2、hoangnx 和 duongdpt 以及 VCSLABViettel 网络安全公司。

第三个漏洞CVE202336933允许攻击者终止 MOVEit Transfer 的实例，影响版本包括 2021091309之前的版本。这个漏洞是由 HackerOne 用户 jameshorseman 发现的。

受影响的 MOVEit Transfer 版本列表来源：Progress Software

Progress Software 在其安全公告中指出：“我们强烈建议您应用此服务包以获得产品更新和安全改进。”

新报告的漏洞出现在去年 5 月和 6 月期间已经披露的多项 SQL 注入漏洞之后，至少有一个漏洞被 Cl0p 勒索团体利用，导致众多公司披露了数据被盗的事件。Cl0p 目前在其暗网泄露页面上列出了近 200 家公司，专家预计在接下来的几周和几个月内还会发现更多受害者。

根据 Progress Software 社区论坛上的一篇 帖子 ，已经应用了之前发布的补丁的用户可以直接运行最新的更新包，而未安装早期补丁的用户则需要先安装早期补丁，才能使 7 月 5 日的更新有效。