{"id":282605,"date":"2023-06-16T11:23:11","date_gmt":"2023-06-16T09:23:11","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=282605"},"modified":"2024-06-11T16:24:39","modified_gmt":"2024-06-11T14:24:39","slug":"das-moveit-desaster-proof-of-concept-clop-gang-verffentlicht-opferdaten","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2023\/06\/16\/das-moveit-desaster-proof-of-concept-clop-gang-verffentlicht-opferdaten\/","title":{"rendered":"Das MOVEit-Desaster: Proof of Concept; Clop-Gang veröffentlicht Opferdaten"},"content":{"rendered":"

\"Sicherheit[English]F\u00fcr Nutzer der Managed File Transfer (MFT)-L\u00f6sung MOVEit von Progress, die Opfer der im Mai 2023 bekannt gewordenen Schwachstelle wurden, deutet sich \u00c4rger an. Die Clop-Ransomware-Gruppe hat Daten von Opfern \u00f6ffentlich gemacht. Zudem gibt es seit einigen Tagen ein Proof of Concept, um die Schwachstelle auszunutzen. In den USA wurden wohl zahlreiche Regierungsstellen \u00fcber die L\u00fccke angegriffen. Und es gibt eine neue Schwachstelle in der Software (seit 15. Juni bekannt). Es kann nur geraten werden, die Software zu deaktivieren.<\/p>\n

<\/p>\n

Der MOVEit-Fall im R\u00fcckblick<\/h2>\n

\"\"MOVEit<\/a> ist eine Managed File Transfer (MFT)-Software, die eine \u00dcbertragung von Dateien zwischen verschiedenen Rechnern erm\u00f6glicht. Entwickelt wird die Software von Ipswitch, einer Tochtergesellschaft des US-Unternehmens Progress Software Corporation. MOVEit ist h\u00e4ufig in Firmen im Einsatz, um Dateien zwischen Kunden oder Gesch\u00e4ftspartnern per Internet auszutauschen. Dabei werden Uploads \u00fcber die Protokolle SFTP, SCP und HTTP unterst\u00fctzt, um die Dateien sicher zu \u00fcbertragen.<\/p>\n

Die Software f\u00e4llt seit Jahren durch (SQL-Injection) Schwachstellen auf \u2013 und Sicherheitsforscher halten den Einsatz dieser L\u00f6sung f\u00fcr \"fahrl\u00e4ssig\". Ende Mai 2023 wurde die MOVEit-Schwachstelle CVE-2023-34362 bekannt (siehe Bedrohungsstufe 4: BSI-Warnung vor ausgenutzter MOVEit-Schwachstelle<\/a>), wobei sich herausstellte, dass diese Sicherheitsl\u00fccke gezielt durch die Lace Tempest\/Clop-Ransomware-Gang (mutma\u00dflich bereits seit 2021) ausgenutzt wurde (siehe Lace Tempest\/Clop-Ransomware-Gang nutzt MOVEit Schwachstelle CVE-2023-34362<\/a>).<\/p>\n

Im Beitrag MOVEit-Schwachstelle tangiert 100 deutsche Firmen, AOKs von Datenabfluss betroffen?<\/a> habe ich darauf hingewiesen, dass \u00fcber hundert deutsche Unternehmen\/Institutionen durch Datenabfl\u00fcsse in der MOVEit-Umgebung betroffen sein d\u00fcrften. Diverse AOKs und die Mainzer Verlagsgruppe VRM sind wohl betroffen. Die Tage habe ich aber bei heise<\/a> gelesen, dass die AOK keine Hinweise auf einen Datenabfluss von Sozialdaten gefunden habe.<\/p>\n

Wenige Tage nach bekanntwerden der SQL-Injection-Schwachstelle CVE-2023-34362 wurde die n\u00e4chste Schwachstelle bekannt (siehe MOVEit Transfer: Neue Schwachstelle; dringend patchen!<\/a>). Die Software scheint sicherheitstechnisch nicht beherrschbar und sollte schleunigst deaktiviert werden.<\/p>\n

Proof of Concept verf\u00fcgbar<\/h2>\n

Ich hatte die Tage bereits mitbekommen, dass Sicherheitsforscher ein Proof of Concept (POC) zum Ausnutzen der MOVEit-Schwachstelle publiziert haben. Die Nacht hat mich Stefan A. per Mail auf den Beitrag MOVEit Transfer customers warned of new flaw as PoC info surfaces<\/a> hingewiesen. Der Hersteller warnt seine MOVEit Transfer-Kunden vor der neuen Schwachstelle, da PoC-Informationen auftauchen. Im Beitrag MOVEit Transfer Critical Vulnerability \u2013 CVE Pending (June 15, 2023)<\/a> hei\u00dft es in der Programm-Community:<\/p>\n

Progress has discovered a vulnerability in MOVEit Transfer that could lead to escalated privileges and potential unauthorized access to the environment. If you are a MOVEit Transfer customer, it is extremely important that you take immediate action as noted below in order to help protect your MOVEit Transfer environment.<\/p><\/blockquote>\n

Progress hat also eine Sicherheitsl\u00fccke in MOVEit Transfer entdeckt, die zu erweiterten Berechtigungen und potenziell unberechtigtem Zugriff auf die Umgebung f\u00fchren kann. Um welche Schwachstelle es sich genau handelt, bleibt in diesem Post unklar. Mehr erf\u00e4hrt man in diesem Progress Sicherheitshinweis<\/a>, wo die bereits bekannten Schwachstellen:<\/p>\n