Bilgisayar Korsanları GoAnywhere MFT'deki Kritik Güvenlik Açığıyla Her Yere Gitmeye Hazır (CVE-2024-0204)

Fortra'nın GoAnywhere Yönetilen Dosya Aktarımı (MFT) yazılımındaki kritik bir kimlik doğrulama atlama açığı olan CVE-2024-0204, yetkisiz kullanıcıların yönetici kullanıcılar oluşturmasına ve kimlik doğrulama gereksinimlerini atlamasına olanak tanır. GoAnywhere MFT daha önce CVE-2023-0669 ile Clop fidye yazılımı grubu tarafından hedef alınmıştı.

Fortra, Aralık 2023 yama sürümünün ardından Ocak 2024'te CVE-2024-0204 için bir güvenlik tavsiyesi yayınladı. 7.4.1'den önceki Fortra GoAnywhere MFT sürümlerinin herhangi bir kullanımı güvenlik açığından etkilenir. GoAnywhere MFT daha önce CVE-2023-0669 ile Clop fidye yazılımı grubu tarafından hedef alınmıştı.

CVE-2024-0204 nedir?

Fortra, güvenlik açığını GoAnywhere MFT çözümünde bir kimlik doğrulama atlaması olarak adlandırdı ve istismarın CWE-425 Direct Request zayıflığını sunduğunu belirtti. GoAnywhere MFT, otomasyon ve gelişmiş veri güvenliği gibi avantajlara sahip bir uzaktan dosya aktarım çözümü sunar. Çok çeşitli sektörlerde kullanılan GoAnywhere, birden fazla uyumluluk standardını ve dosya aktarım protokolünü destekler.

Doğrudan istek zayıflığı, aracın kısıtlı erişim için gerekli yetkilendirmeyi zorlamadığı anlamına gelir. GoAnywhere MFT güvenlik açığıyla, kimliği doğrulanmamış saldırganlar yol geçişi, okuma ve yazma izinleri ve komut yürütme için ilişkili tüm yönetici izinlerine sahip yeni bir yönetici kullanıcı oluşturabilir.

CVE-2024-0204, geçen yılki CVE-2023-0669'u (7.2 CVSS puanı) takip ediyor ve bu da GoAnywhere MFT'yi bir ön kimlik doğrulama komutu enjeksiyon güvenlik açığı olarak etkiledi. CVE-2023-0669, uzaktan kod yürütülmesine yol açan kod enjeksiyonuna karşı koruma sağlamak için bir acil durum yaması gerektiriyordu. Kod enjeksiyon güvenlik açığı, Ocak 2023'te Clop fidye yazılımı grubu tarafından istismar edildi ve GoAnywhere MFT kullanan 130 şirket için veri ihlallerine neden oldu. CVE-2023-0669 hakkında daha fazla bilgi için Fortra'nın araştırmalarının özetine bakın.

Şu anda Ulusal Güvenlik Açığı Veritabanında analiz edilmeyi bekleyen atlama kimlik doğrulama güvenlik açığı CVE-2024-0204 olarak etiketlendi. Fortra, Ortak Güvenlik Açığı Puanlama Sistemine göre kusurun ciddiyetini gösteren 9.8'lik (10 üzerinden) kritik bir CVSS puanı belirledi.

Fortra, 22 Ocak 2024 tarihli güvenlik danışmanlığında, Spark Engineering Consultants'tan Mohammed Eldeeb ve Islam Elrfai tarafından 1 Aralık 2023'te yapılan ilk keşfi kabul ediyor. Bunu, yazılımın güncellenmiş bir sürümünün 7 Aralık 2023'te kullanıma sunulmasıyla birlikte hızlı bir yama sürümü izledi. Fortra, yamanın ardından aktif istismar raporları almadıklarını belirtti.

Potansiyel güvenlik ihlali göstergeleri nasıl doğrulanır?

GoAnywhere'in belgeleri mevcut müşterilere açık olsa da, yazılımın önceki sürümleri için kurulum kılavuzları, varsayılan yönetim bağlantı noktalarının HTTP bağlantıları için [.rt-script]8000[.rt-script] ve güvenli HTTPS istekleri için [.rt-script]8001[.rt-script] içerdiğini göstermektedir. GoAnywhere MFT için web tabanlı yönetim konsolu, konsolun genel internet üzerinden erişilebilir olması durumunda bir kimlik doğrulama atlamasından yararlanılabileceği anlamına gelir.

Çoğu durumda, yönetim konsolu özel bir ağla, VPN erişimi aracılığıyla veya izin verilen IP adresleriyle sınırlıdır. Ancak, bu çözüm yönetilen dosya aktarımı sunduğundan ve şirketler bu hizmeti son derece hassas veriler için kullanabileceğinden, yönetim ayarlarına yetkisiz erişim, iş açısından kritik sorunlara neden olabilir.

GoAnywhere yönetim panelinize halka açık internetten erişilebiliyorsa ve yamalı sürüme yükseltme yapmadıysanız, hizmeti hemen yükseltmeli ve olası uzlaşma göstergelerini (IOC'ler) değerlendirmelisiniz.

CVE-2024-0204 için Potansiyel IOC'ler:

  • Yönetici hesabı oluşturma uç noktanıza çevrenizin dışından (iç ağınızın dışında, VPN dışında veya yetkisiz bir IP adresinden) erişin. Kullanıcı kimlik doğrulaması olmadan yeni bir yönetici kullanıcı oluşturabiliyorsanız, hizmetiniz tehlikeye girebilir.
  • Yönetim konsolundaki [.rt-script]Admin Users[.rt-script] grubunu gözden geçirin. Yetkisiz yeni eklemeler, bir saldırganın hizmetinizi tehlikeye atmış olabileceğini gösterir.
  • [.rt-script]\GoAnywhere\userdata\database\goanywhere\log\*.log[.rt-script] konumundaki günlüklerinizi gözden geçirerek yeni kullanıcı oluşturmayı gösteren girişler olup olmadığını kontrol edin. Yönetici Kullanıcılar grubunuzda yeni kullanıcılar olmasa bile günlükleri gözden geçirdiğinizden emin olun, çünkü bir saldırgan yetkisiz kullanıcıyı sisteme erişim sağladıktan sonra kaldırmış olabilir.

CVE-2024-0204'e karşı nasıl korunulur?

Henüz 7.4.1 veya daha yüksek bir sürüme yükseltmediyseniz, bunu hemen yapın. Fortra'nın sürüm güncellemesi, bu güvenlik açığı için bir çözüm içerir. Fortra müşterileri, müşteri portalındaki müşteri danışmanlığına erişebilirler.

Fortra'nın genel tavsiyesi, güvenlik açığını ortadan kaldırmak için iki ek geçici çözüm içerir:

  • Kapsayıcı olmayan dağıtım için, yükleme dizinindeki [.rt-script]InitialAccountSetup.xhtml[.rt-script] dosyasını silin ve hizmetleri yeniden başlatın.
  • Kapsayıcı tabanlı dağıtım için [.rt-script]InitialAccountSetup.xhtml[.rt-script] dosyasını boş bir dosyayla değiştirin ve hizmetleri yeniden başlatın.

Güvenlik açığını azaltmanın yanı sıra, yukarıda belirtilen güvenlik ihlali göstergeleri için günlüklerinizi gözden geçirmelisiniz. Beklenmeyen faaliyetler tespit ederseniz, olay müdahale planınıza uygun olarak hemen harekete geçin ve sorunla ilgili olarak doğrudan Fortra ile iletişime geçin.

Harici saldırı yüzeyinizin sürekli izlenmesi, GoAnywhere CVE-2024-0204 dahil olmak üzere bilinen ve bilinmeyen olası güvenlik açıklarına karşı proaktif önlemler almanıza yardımcı olabilir. UpGuard, BreachSight ve Satıcı Riski kullanan müşteriler için bir güvenlik açığı kitaplığı tutar. Şu anda GoAnywhere atlama kimlik doğrulama güvenlik açığını UpGuard'ın güvenlik açığı kitaplığına eklediğimiz için daha fazla bilgi için durumu izliyoruz.