Търсене
Close this search box.

Progress Software пуска спешни поправки за WS_FTP Server

Progress Software пусна спешни поправки за критична уязвимост в сигурността, както и за седем други недостатъка в модула за ad hoc трансфер на WS_FTP Server и в интерфейса на мениджъра на WS_FTP Server.

Проследен като CVE-2023-40044, недостатъкът има CVSS оценка 10.0, което означава максимална сериозност. Недостатъкът засяга всички версии на софтуера.

„Във версиите на WS_FTP Server преди 8.7.4 и 8.8.2 предварително автентикиран нападател може да използва уязвимост в десериализирането на .NET в модула Ad Hoc Transfer, за да изпълнява отдалечени команди в основната операционна система WS_FTP Server“, се казва в съобщението на компанията.

На изследователите по сигурността от Assetnote Shubham Shah и Sean Yeoh се приписва откриването и съобщаването на уязвимостта.

Списъкът с останалите недостатъци, засягащи версиите на WS_FTP Server преди 8.8.2, е следният.

  • CVE-2023-42657 (CVSS оценка: 9.9) – Уязвимост в обхождането на директории, която може да бъде използвана за извършване на файлови операции.
  • CVE-2023-40045 (CVSS оценка: 8.3) – Отразена уязвимост при скриптиране на кръстосани сайтове (XSS) в модула Ad Hoc Transfer на WS_FTP Server, която може да бъде използвана за изпълнение на произволен JavaScript в контекста на браузъра на жертвата.
  • CVE-2023-40047 (CVSS оценка: 8.3) – В модула за управление на WS_FTP Server съществува съхранена уязвимост за скриптиране на кръстосани сайтове (XSS), която може да бъде използвана от нападател с администраторски права, за да импортира SSL сертификат със злонамерени атрибути, съдържащи XSS полезен товар, който след това може да бъде задействан в браузъра на жертвата.
  • CVE-2023-40046 (CVSS оценка: 8.2) – Уязвимост при SQL инжектиране в интерфейса на мениджъра на WS_FTP Server, която може да бъде използвана за извличане на информация, съхранявана в базата данни, и за изпълнение на SQL команди, които променят или изтриват нейното съдържание.
  • CVE-2023-40048 (CVSS оценка: 6.8) – Уязвимост в интерфейса на мениджъра на WS_FTP Server, която може да бъде използвана при подправяне на заявки от друг сайт (CSRF).
  • CVE-2022-27665 (CVSS оценка: 6.1) – Отразена уязвимост за скриптиране на кръстосани сайтове (XSS) в Progress Ipswitch WS_FTP Server 8.6.0, която може да доведе до изпълнение на злонамерен код и команди на клиента.
  • CVE-2023-40049 (CVSS score: 5.3) – Уязвимост за заобикаляне на удостоверяването, която позволява на потребителите да изброяват файловете в списъка на директорията „WebServiceHost“.

Тъй като пропуските в сигурността на софтуера на Progress се превръщат в привлекателна цел за групировки, занимаващи се с изнудване, като Cl0p, е важно потребителите да действат бързо, за да приложат най-новите пачове, за да ограничат потенциалните заплахи.

Междувременно компанията все още се бори с последиците от масовия хакерски пробив, насочен към нейната платформа за сигурно прехвърляне на файлове MOVEit Transfer от май 2023 г. По данни на Emsisoft се смята, че са били засегнати повече от 2100 организации и над 62 милиона физически лица.

Източник: The Hacker News

Подобни публикации

21 април 2024

Как OpenAI и Microsoft събудиха заспал софтуере...

Само преди десетилетие най-големият технологичен звяр в света беше ...
20 април 2024

Готви се нова методика за удостоверяване на съо...

Актуализирането на методиката за удостоверяване на съответствието н...
20 април 2024

Критична уязвимост на Forminator за WordPress и...

Плъгинът Forminator за WordPress, използван в над 500 000 сайта, е ...
20 април 2024

Бандата "Медуза" нанася нов удар

Въпреки че общинската агенция уверява обществеността, че малцина са...
19 април 2024

Пробиха MITRE чрез нулевите дни на Ivanti

Корпорацията MITRE твърди, че подкрепяна от държавата хакерска груп...
19 април 2024

Замбия арестува 77 души в операция за киберпрес...

Компанията за фалшиви телефонни центрове извършва онлайн  и други и...
18 април 2024

Платформата за фишинг LabHost е закрита от прав...

LabHost, голяма платформа за фишинг като услуга, е била затворена к...
18 април 2024

Компания за управление на киберриска набра 21 м...

В сряда компанията за риск мениджмънт CyberSaint обяви, че е набрал...
Бъдете социални
Още по темата
18/04/2024

Компания за управление на к...

В сряда компанията за риск мениджмънт...
17/04/2024

BMC на Intel и Lenovo съдър...

Нови открития на Binarly показват, че...
08/04/2024

NIS2: От риск към възможност

На 02.04.2024 г. в столичния ИНТЕР...
Последно добавени
21/04/2024

Как OpenAI и Microsoft събу...

Само преди десетилетие най-големият технологичен звяр...
20/04/2024

Готви се нова методика за у...

Актуализирането на методиката за удостоверяване на...
20/04/2024

Критична уязвимост на Formi...

Плъгинът Forminator за WordPress, използван в...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!