Ontwikkelaar Progress waarschuwt klanten voor een nieuwe kwetsbaarheid in haar software MOVEit Transfer. Door deze exploit is het mogelijk om met een SQL-injectie vertrouwelijke gegevens uit databases van klanten te stelen. Het bedrijf adviseert haar klanten om de nieuwste beveiligingsupdates direct te installeren.
Progress meldt de nieuwe kwetsbaarheid op haar community forum.
Ontwikkelaar: ‘Installeer security patch zo snel mogelijk’
Medewerkers van het gerenommeerde cybersecuritybureau Huntress ontdekten de kwetsbaarheid. Met behulp van deze zero-day exploit kunnen hackers en andere niet-geauthenticeerde aanvallers via internet blootgestelde servers binnendringen en klantgegevens wijzigen of stelen.
“Een aanvaller kan een gefabriceerde payload verzenden naar een eindpoint in de MOVEit Transfer-applicatie. Dat kan op zijn beurt de integriteit van de inhoud van MOVEit-databases aantasten, of de inhoud ervan beschikbaar stellen voor onbevoegden”, zo stelt Progress in een recente Security Advisory.
Het onderzoek naar de exploit is nog in volle gang. In de tussentijd raadt de ontwikkelaar haar klanten aan om de beveiligingspatch die sinds vrijdag 9 juni beschikbaar is zo spoedig mogelijk te installeren. Volgens de softwareontwikkelaar zijn er op dit moment geen aanwijzingen dat de onlangs ontdekte kwetsbaarheid is misbruikt.
Russische hackersgroep zegt ‘honderden’ slachtoffers te hebben gemaakt
Het is de tweede keer in korte tijd dat Progress een waarschuwing afgeeft voor MOVEit Transfer, een applicatie om bestanden mee te delen. Eind mei ontdekte het bedrijf dat haar software een ernstige kwetsbaarheid bevatte. Daarmee was het mogelijk om vertrouwelijke of privacygevoelige informatie van klanten te stelen. Het Nationaal Cyber Security Centrum (NCSC) raadde systeembeheerders aan om de beveiligingsupdate zo snel mogelijk te installeren.
De Russische hackersgroep Clop claimt deze zero-day exploit te hebben misbruikt om data te stelen van ‘honderden’ bedrijven en organisaties. Afgelopen week meldden vliegtuigmaatschappijen British Airways en Aer Lingus, apotheekketen Boots, de Britse omroep BBC, de overheid van de Canadese provincie Nova Scotia, het Britse payrollbedrijf Zellis en de University of Rochester dat zij het slachtoffer waren van datadiefstal via MOVEit Transfer. Landal GreenParks meldde eind vorige week dat er door de exploit in de applicatie mogelijk persoonsgegevens van 12.000 vakantiegangers zijn bemachtigd.
Progress benadrukt dat het ditmaal om een andere exploit gaat. Een CVE-nummer is op dit moment nog niet beschikbaar.
