Detección de Vulnerabilidades en Fortra GoAnywhere MFT

Plantillas de Nuclei para detectar vulnerabilidades de Fortra GoAnywhere MFT.

Creado por @rxerium

Resumen

Plantillas de detección de CVEs para Fortra GoAnywhere Managed File Transfer (MFT), que incluyen múltiples vulnerabilidades CISA KEV explotadas por grupos de ransomware.

Estadísticas: 1 CVE (2021) + 1 CVE (2023) + 1 CVE (2024) + 1 CVE (2025) = 4 plantillas (2 CISA KEV)

Uso

# Scan a single target
nuclei -t 2025/CVE-2025-10035.yaml -u https://target.com:8001

# Scan with all templates
nuclei -t 2021/ -t 2023/ -t 2024/ -t 2025/ -u https://target.com:8001

# Scan multiple targets
nuclei -t 2025/ -l targets.txt

Requisitos: Nuclei v3.0.0+

Características

• Seguimiento CISA KEV - 2 Vulnerabilidades Conocidas Explotadas incluidas
• Objetivos de Ransomware - CVEs explotados por los grupos de ransomware Clop y Medusa
• Detección de Versión - Extracción con expresiones regulares de las respuestas HTTP
• Listo para Producción - Todas las plantillas validadas antes de su publicación

Método de Detección

Las plantillas extraen la versión de GoAnywhere MFT del contenido de la página y la comparan con los rangos de versiones vulnerables mediante matchers DSL.

Rutas comprobadas:

• {{BaseURL}}/
• {{BaseURL}}/goanywhere/auth/Login.xhtml

Puertos por defecto: 8000 (HTTP), 8001 (HTTPS)

Resumen de CVEs

Formato de Plantilla

id: CVE-YYYY-XXXXX

info:
  name: CVE-YYYY-XXXXX - Fortra GoAnywhere MFT [Vulnerability Type]
  author: rxerium
  severity: critical|high|medium|low
  description: |
    [Description]
  reference:
    - https://nvd.nist.gov/vuln/detail/CVE-YYYY-XXXXX
  metadata:
    vendor: Fortra
    product: GoAnywhere MFT
    cvss-score: X.X
    cwe-id: CWE-XXX
    cisa-kev: true  # If applicable
  tags: cve,cveYYYY,goanywhere,mft,[type]

http:
  - method: GET
    path:
      - "{{BaseURL}}"
      - "{{BaseURL}}/goanywhere/auth/Login.xhtml"

    matchers-condition: and
    matchers:
      - type: status
        status:
          - 200
      - type: word
        part: body
        words:
          - "GoAnywhere"
      - type: dsl
        dsl:
          - "compare_versions(version, '<X.X.X')"

    extractors:
      - type: regex
        name: version
        part: body
        group: 1
        regex:
          - 'GoAnywhere[^0-9]+([0-9]+\.[0-9]+\.[0-9]+)'
        internal: true
      - type: kval
        kval:
          - version

Uso Responsable

Solo para pruebas de seguridad e investigación legítimas. Obtenga siempre la autorización adecuada antes de escanear.

Contacto

• Twitter/X: @rxerium
• LinkedIn: rxerium
• Signal: Contacto

Licencia

Licencia MIT - consulte LICENSE