КиберосноваSGRC
BDU:2023-03175
Критический

BDU:2023-03175: Уязвимость программного обеспечения для обработки и передачи конфиденциальных данных Progress MOVEit Transfer, связанная с непринятием мер по защите структуры запроса SQL, позволяющая нарушителю выполнять произвольные SQL-запросы к базе данных

CVSS v39.8
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2023-03175

Описание

Уязвимость программного обеспечения для обработки и передачи конфиденциальных данных Progress MOVEit Transfer связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные SQL-запросы к базе данных

Что делать с BDU:2023-03175

Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-89

CVE — международный идентификатор

CVE-2023-35036
CWE-89
SQL-инъекция

Позволяет внедрить SQL-команды через пользовательский ввод. Приводит к несанкционированному доступу к базе данных, утечке и модификации данных.

Как атакуют и что делать ▾

Сценарий атаки

Через поле ввода (логин, поиск, фильтр) передаётся SQL-код: ' OR 1=1 --. Сервер выполняет модифицированный запрос к базе.

Последствия

Чтение всей базы данных, модификация/удаление записей, обход аутентификации, выполнение команд ОС.

Рекомендации

Используйте параметризованные запросы (prepared statements), ORM, минимальные привилегии УЗ базы данных.

Тактики и техники

Инъекция

Уязвимое ПО (10)

ВендорНазваниеВерсияПлатформа
Progress Software CorporationMOVEit Transferот 2023.0.0 до 2023.0.2Не указана
Progress Software CorporationMOVEit Transferот 2022.1.0 до 2022.1.6Не указана
Progress Software CorporationMOVEit Transferот 2022.0.0 до 2022.0.5Не указана
Progress Software CorporationMOVEit Transferот 2021.1.0 до 2021.1.5Не указана
Progress Software CorporationMOVEit Transferот 2021.0.0 до 2021.0.7Не указана
Progress Software CorporationMOVEit Transferдо 2020.1.6 включительноНе указана
Progress Software CorporationMOVEit Cloudот 14.1.0.0 до 14.1.6.97Не указана
Progress Software CorporationMOVEit Transferот 2020.1.0 до 2020.1.9Не указана
Progress Software CorporationMOVEit Cloud15.0.2.39Не указана
Progress Software CorporationMOVEit Cloudот 14.0.0.0 до 14.0.5.45Не указана

Рекомендации по устранению

Использование рекомендаций производителя: https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-CVE-2023-35036-June-9-2023 Компенсирующие меры: - отключение HTTP и HTTPs-трафика (на портах 80 и 443); - удаление неавторизованных файлов и учетных записей пользователей; - сброс учетных данных учетной записи службы MOVEit.

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации12.8%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-06-09

Опубликована

2023-06-16

Обновлена

2023-06-16

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-35036 MITRE: CWE-89 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-02088
Средний
5.3

Уязвимость программного обеспечения для обработки и передачи конфиденциальных данных Progress MOVEit Transfer, связанная

BDU:2025-13690
Высокий
8.2

Уязвимость модуля AS2 программного обеспечения для обработки и передачи конфиденциальных данных Progress MOVEit Transfer

BDU:2024-05920
Высокий
7.3

Уязвимость модуля SFTP программного обеспечения для обработки и передачи конфиденциальных данных Progress MOVEit Transfe

BDU:2024-04809
Высокий
9.1

Уязвимость модуля SFTP программного обеспечения для обработки и передачи конфиденциальных данных Progress MOVEit Transfe

BDU:2024-00403
Высокий
7.1

Уязвимость компонента HTTPS Transaction Handler программного обеспечения для обработки и передачи конфиденциальных данны

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0