Was ist CVE-2023-34362 in MOVEit Transfer? | AssistSec Wissensdatenbank

CVE-2023-34362 ist eine SQL Injection in Progress MOVEit Transfer, mit der ein Angreifer ohne Zugangsdaten Dateien und Benutzerdaten auslesen und eine Web-Shell hinterlassen konnte. Die Gruppe Cl0p nutzte die Lücke Tage vor dem ersten Advisory aus, und zwar nicht zum Verschlüsseln, sondern um Daten zu stehlen und Organisationen damit zu erpressen.

Ende Mai 2023 begann die Erpressergruppe Cl0p, in großem Stil Dateien bei Organisationen zu stehlen, die MOVEit Transfer einsetzten. Das Advisory des Herstellers Progress folgte erst danach. Was daraus wurde, war eine der breitesten Datendiebstahlkampagnen bislang.

Was ist CVE-2023-34362

MOVEit Transfer ist Software, mit der Organisationen Dateien sicher austauschen. In der Weboberfläche steckte eine SQL Injection: Eingaben eines nicht angemeldeten Besuchers landeten direkt in einer Datenbankabfrage. Damit konnte ein Angreifer die Datenbank auslesen, Session-Tokens fälschen und schließlich eine Datei hinterlegen, die der Server für ihn ausführte.

Warum eine SQL Injection hier so schwer wiegt

In den meisten Anwendungen liefert eine SQL Injection Daten. Hier lag in der Datenbank genau das, was die Software schützen sollte: die Verweise auf jede ausgetauschte Datei. Wer die Datenbank liest, liest damit den gesamten Dateiaustausch der Organisation.

Dazu kam eine zweite Stufe. Über die Injection ließ sich ein Skript schreiben, das der Server als Teil der Anwendung ausführte, womit der Angriff in Remote Code Execution überging.

Die Kette hinter Ihrer Kette

Wer MOVEit gar nicht einsetzte, konnte trotzdem betroffen sein. Lohnbüros, Versorgungswerke und Verwaltungsdienstleister nutzten es, um Dateien mit ihren Kunden auszutauschen, die gestohlenen Daten gehörten also häufig Organisationen, die die Software nie gesehen hatten. Das macht den Fall ebenso lehrreich für Lieferantenrisiken wie für Injection.

Was jetzt zu tun ist

Wenn Sie MOVEit Transfer betreiben, prüfen Sie, ob alle Patches seit Mai 2023 eingespielt sind und ob in diesem Zeitraum unbekannte Dateien im Webverzeichnis auftauchten.
Stellen Sie Plattformen für Dateiaustausch nicht ohne Not direkt ins Internet. Eine Zugangsschicht davor verkleinert die Angriffsfläche erheblich.
Fragen Sie Ihre Lieferanten, welche Plattformen sie für den Datenaustausch mit Ihnen nutzen und wie sie diese patchen.
Lassen Sie internetseitige Anwendungen regelmäßig testen. Eine solche Injection gehört zum Standardrepertoire eines Penetrationstests.

Häufige Fragen

Warum wurde gerade diese Lücke so bekannt?

Nicht wegen der Technik, sondern wegen des Ausmaßes. MOVEit dient dem Dateiaustausch zwischen Organisationen, ein kompromittierter Server gab daher oft die Daten dutzender Kunden dieser Organisation auf einmal preis.

War Ransomware im Spiel?

Verschlüsselt wurde nichts. Cl0p stahl nur Daten und drohte mit deren Veröffentlichung. Das ist inzwischen ein gängiges Modell: Erpressung ohne den Aufwand der Verschlüsselung.

Hätte Patchen das verhindert?

In der ersten Welle nicht. Der Angriff lief bereits, bevor Progress das Advisory veröffentlichte. Wer schnell patchte, begrenzte aber den Schaden der folgenden Wochen.

MOVEit Transfer (CVE-2023-34362)