Un autre ensemble de vulnérabilités critiques a été découvert dans une application de transfert de fichiers, ce qui fait craindre que, si elle est exploitée avant d’être corrigée, il entraînera également un grand nombre de violations de données.
Progress Software a déclaré cette semaine que huit vulnérabilités, dont deux jugées critiques, avaient été découvertes dans son serveur WS_FTP, utilisé pour le transfert sécurisé de données critiques.
Les trous se trouvent dans le module de transfert ad hoc et dans l’interface de gestion du logiciel.
« Toutes les versions du serveur WS_FTP sont affectées par ces vulnérabilités », a indiqué la société. « Nous avons résolu ces problèmes et mis à la disposition des clients des correctifs spécifiques à chaque version afin d’y remédier. »
La société a déclaré à The Record que jusqu’à présent, elle n’avait pas constaté que les vulnérabilités étaient exploitées.
Sur son site Web, Progress Software répertorie les cas de figure d’un certain nombre d’organisations majeures qui ont utilisé WS_FTP, notamment un district scolaire américain, une société de jeux vidéo et l’équipe de la NFL des Broncos de Denver.
Une vulnérabilité du jour zéro dans l’application de transfert de fichiers MOVEit de Progress Software découverte par le gang de rançongiciel Clop/Cl0p a conduit à plus de 2 000 piratages de serveurs MOVEit et au vol d’informations d’environ 62 millions de personnes.
Parmi les autres applications de transfert de fichiers dont les vulnérabilités ont conduit à des piratages massifs au cours des deux dernières années, citons GoAnywhere MFT de Fortra, Accellion FTA et Aspera Faspex d’IBM.
Cette catégorie d’applications peut être tentante pour les cybercriminels, car leurs serveurs contiennent de gros volumes de données. Alors que les serveurs de transfert de fichiers sécurisés devraient protéger les données au repos, si un attaquant peut obtenir un accès administrateur, cela pourrait déjouer le cryptage.
Les vulnérabilités critiques de WS_FTP incluent :
— CVE-2023-40044
Score CVSS: 10
Dans les versions du serveur WS_FTP antérieures à 8.7.4 et 8.8.2, un attaquant pré-authentifié pourrait exploiter une vulnérabilité de désérialisation .NET dans le module Ad Hoc Transfer pour exécuter des commandes à distance sur le système d’exploitation sous-jacent du serveur WS_FTP.
— CVE-2023-42657
Score CVSS: 9,9
Dans les versions du serveur WS_FTP antérieures à 8.7.4 et 8.8.2, une vulnérabilité de traversée de répertoire a été découverte. Un attaquant pourrait exploiter cette vulnérabilité pour effectuer des opérations sur les fichiers (supprimer, renommer, rmdir, mkdir) sur des fichiers et des dossiers en dehors de leur chemin de dossier WS_FTP autorisé. Les attaquants pourraient également échapper au contexte de la structure de fichiers du serveur WS_FTP et effectuer le même niveau d’opérations (supprimer, renommer, rmdir, mkdir) sur les emplacements de fichiers et de dossiers du système d’exploitation sous-jacent.
Adaptation et traduction française par Renaud Larue-Langlois.
