定番の脆弱性 › CVE-2023-34362
MOVEit Transfer（CVE-2023-34362）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
公開日:
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | MOVEit Transfer |
|---|---|
| CVE番号 | CVE-2023-34362 |
| いつ起きたか | NVD に登録された日: 2023-06-02 KEV に追加された日: 2023-06-02 |
| 製品 | Progress MOVEit Transfer |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-89 |
何が起きた
Progress社の「MOVEit Transfer」のWebアプリケーションに、SQLインジェクションという弱点がありました。ログインしていない攻撃者が、MOVEit Transfer のデータベースに入り込める可能性があります。使っているデータベース（MySQL、Microsoft SQL Server、Azure SQL）によっては、データベースの構造や中身を推測したり、データベースの要素を変更・削除するSQL文を実行したりできる可能性があります。データによると、2023年5月と6月に実際の攻撃で悪用されており、HTTPやHTTPSの通信を通じて悪用されることがあります。KEVでは、ランサムウェアの攻撃に使われたことも確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
MOVEit Transfer のうち、2021.0.6（13.0.6）、2021.1.4（13.1.4）、2022.0.4（14.0.4）、2022.1.5（14.1.5）、2023.0.1（15.0.1）より前のバージョンが対象です。データによると、2020.0 や 2019 系など、これより古いサポート終了済みのバージョンも影響を受けます。
何をすればいい
古い事例ですが、今でも上の修正版より前の MOVEit Transfer が動いていないか確認してください。見つかった場合は、メーカー（Progress）の案内に従って更新してください。その後に出た修正も含め、最新の修正版はProgressの公式情報で確認してください。
用語メモ
- SQLインジェクション
- 入力欄などに細工した文字列を入れて、データベースへの命令（SQL）を不正に実行させる攻撃や、その弱点のことです。
- データベース
- たくさんのデータを整理して保存し、探したり書き換えたりできるようにする仕組みです。
- ランサムウェア
- データを勝手に暗号化して使えなくし、元に戻す代わりに身代金を要求する不正なプログラムです。
元データ（英語）
Progress MOVEit Transfer SQL Injection Vulnerability
概要（CISA KEV）
Progress MOVEit Transfer contains a SQL injection vulnerability that could allow an unauthenticated attacker to gain unauthorized access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database in addition to executing SQL statements that alter or delete database elements.
説明（NVD）
In Progress MOVEit Transfer before 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5), and 2023.0.1 (15.0.1), a SQL injection vulnerability has been found in the MOVEit Transfer web application that could allow an unauthenticated attacker to gain access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database, and execute SQL statements that alter or delete database elements. NOTE: this is exploited in the wild in May and June 2023; exploitation of unpatched systems can occur via HTTP or HTTPS. All versions (e.g., 2020.0 and 2019x) before the five explicitly mentioned versions are affected, including older unsupported versions.