PT-2021-20356 · Ipswitch+2 · Moveit Transfer+3
Publicado
2021-06-09
·
Atualizado
2021-06-22
·
CVE-2021-33894
CVSS v3.1
8.8
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
**Nome do software vulnerável e versões afetadas:
MOVEit Transfer, versões 2019.0.0 a 2019.0.5
MOVEit Transfer, versões 2019.1.0 a 2019.1.4
MOVEit Transfer, versões 2019.2.0 a 2019.2.1
Versões do MOVEit Transfer 2020.0.0 a 2020.0.4
Versões do MOVEit Transfer 2020.1.0 a 2020.1.3
Versões do MOVEit Transfer 2021.0.0
Descrição:
Existe uma vulnerabilidade de injeção de SQL no aplicativo web MOVEit Transfer, especificamente no SILUtility.vb dentro do MOVEit.DMZ.WebApp. Isso poderia permitir que um invasor autenticado obtivesse acesso não autorizado ao banco de dados, potencialmente inferindo a estrutura e o conteúdo do banco de dados ou executando instruções SQL para alterar ou excluir elementos do banco de dados, dependendo do mecanismo de banco de dados utilizado, como MySQL, Microsoft SQL Server ou Azure SQL.
Recomendações:
Para as versões 2019.0.0 a 2019.0.5 do MOVEit Transfer, atualize para a versão 2019.0.6 ou posterior.
Para as versões 2019.1.0 a 2019.1.4 do MOVEit Transfer, atualize para a versão 2019.1.5 ou posterior.
Para as versões do MOVEit Transfer de 2019.2.0 a 2019.2.1, atualize para a versão 2019.2.2 ou posterior.
Para as versões do MOVEit Transfer de 2020.0.0 a 2020.0.4, atualize para a versão 2020.0.5 ou posterior.
Para as versões do MOVEit Transfer 2020.1.0 a 2020.1.3, atualize para a versão 2020.1.4 ou posterior.
Para a versão 2021.0.0 do MOVEit Transfer, atualize para a versão 2021.0.1 ou posterior.
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Azure Sql
Moveit Transfer
Sql Server
Mysql Server