sentinel-aidefense/cve-2025-10035Étude de recherche sur CVE-2025-10035
Analyse rédigée par Sentinel AI Defense. Analyse défensive uniquement — aucun exploit fonctionnel ni PoC n'est publié ici.
Une chaîne de désérialisation parfaite de score 10 dans Fortra GoAnywhere MFT : une signature de réponse de licence falsifiée permet à un attaquant non authentifié de désérialiser un objet arbitraire et d'atteindre l'exécution de commandes sur le serveur de transfert de fichiers.
📄 Analyse complète : https://sentinelaidefense.com/posts/cve-2025-10035-goanywhere-deserialization.html
CVE-2025-10035 est une vulnérabilité critique de désérialisation dans le Servlet de Licence de Fortra GoAnywhere Managed File Transfer (MFT). Elle permet à un acteur disposant d'une signature de réponse de licence valablement falsifiée de désérialiser un objet arbitraire contrôlé par l'attaquant, conduisant à une injection de commandes et à une exécution de code à distance (RCE) non authentifiée.
La faille a un score CVSS de 10.0 (Critique). Elle a été divulguée le 18 septembre 2025 et rapidement ajoutée au catalogue CISA KEV en raison des risques d'exploitation active. Cette vulnérabilité est notable pour son impact élevé sur les systèmes de transfert de fichiers gérés manipulant des données sensibles.
Des correctifs ont été publiés en septembre 2025. Les instances MFTaaS hébergées dans le cloud ont été mises à jour par Fortra. Les versions antérieures (y compris certaines encore supportées) sont vulnérables si le Servlet de Licence est exposé.
La vulnérabilité réside dans la logique de validation de la licence au sein du Servlet de Licence. Le composant ne parvient pas à nettoyer et valider correctement les objets sérialisés dans les réponses de licence falsifiées, même lorsqu'une signature est présente. Cela permet une désérialisation Java non sécurisée de gadgets contrôlés par l'attaquant, qui peuvent s'enchaîner en une injection de commandes sur le système d'exploitation sous-jacent.
Il s'agit d'une combinaison de problèmes, incluant un contournement du contrôle d'accès (connu dans les versions antérieures) et une gestion non sécurisée des objets désérialisés. L'attaque ne nécessite pas d'authentification préalable si le point d'accès du servlet est accessible. Les chercheurs l'ont qualifiée de chaîne 'parfaite' de CVSS 10.0 avec une grande fiabilité.
L'exploitation est non authentifiée et peut être effectuée à distance. Des tentatives de scan et d'exploitation ont été observées peu après la divulgation, conformément aux schémas observés lors d'incidents précédents liés à GoAnywhere.
/license ou des chemins similaires).Fortra recommande de consulter les journaux pour rechercher des indicateurs de compromission.
Consultez l'avis de Fortra et la CISA pour des listes complètes.
En raison de la nature critique et de l'historique de ciblage de GoAnywhere (par exemple, par CL0P les années précédentes), priorisez le correctif et l'examen médico-légal si une exposition est suspectée.
Ce dépôt est publié à des fins défensives et éducatives uniquement. Il contient des analyses, des logiques de détection et des conseils d'atténuation. Aucun code d'exploitation fonctionnel n'est fourni. N'utilisez ces informations que sur des systèmes que vous êtes autorisé à tester et à défendre.
Maintenu par Sentinel AI Defense · Résultats partagés de manière responsable dans le cadre d'une divulgation coordonnée.