PT-2020-20235 · Ipswitch+2 · Moveit Transfer+3

Publicado 2020-02-14 · Atualizado 2020-02-19 · CVE-2020-8611

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

MOVEit Transfer, versões 2019.1 a 2019.1.3

MOVEit Transfer, versões 2019.2 a 2019.2.0

Descrição

Foram encontradas várias vulnerabilidades de injeção de SQL na API REST do MOVEit Transfer, o que poderia permitir que um invasor autenticado obtivesse acesso não autorizado ao banco de dados por meio da API REST. Dependendo do mecanismo de banco de dados utilizado, como MySQL, Microsoft SQL Server ou Azure SQL, um invasor pode ser capaz de inferir informações sobre a estrutura e o conteúdo do banco de dados, além de executar instruções SQL que alteram ou destroem elementos do banco de dados.

Recomendações

Para as versões 2019.1 a 2019.1.3 do MOVEit Transfer, atualize para a versão 2019.1.4 ou posterior.

Para as versões 2019.2 a 2019.2.0 do MOVEit Transfer, atualize para a versão 2019.2.1 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2020-8611

Produtos afetados

Azure Sql

Moveit Transfer

Sql Server

Mysql Server

Referências · 7

• https://docs.ipswitch.com/MOVEit/Transfer2019_2/ReleaseNotes/en/index.htm#49677.htm · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-8611 · Aviso do Fabricante
• https://t.me/cvenotify/1042 · Publicação no Telegram
• https://community.ipswitch.com/s/article/MOVEit-Transfer-Security-Vulnerabilities-Feb-2020 · Aviso do Fabricante
• https://status.moveitcloud.com · Nota
• https://docs.ipswitch.com/MOVEit/Transfer2019_1/ReleaseNotes/en/index.htm#49443.htm · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-8611 · Nota de Segurança