CVE-2023-34362

影响MOVEit Transfer的CVE-2023-34362的POC

技术分析

该漏洞的技术根本原因分析可在我们的博客中找到： https://www.horizon3.ai/moveit-transfer-cve-2023-34362-deep-dive-and-indicators-of-compromise/

摘要

此POC利用SQL注入获取系统管理员API访问令牌，然后利用该访问权限滥用反序列化调用以实现远程代码执行。

此POC需要连接到一个托管了合适RS256证书的身份提供者（IDP）端点，这些证书用于伪造任意用户令牌——默认情况下，此POC使用我们在AWS上托管的IDP端点。

默认情况下，该利用程序会将文件写入C:\Windows\Temp\message.txt。可以通过ysoserial.net项目生成替代载荷。

用法

python CVE-2023-34362.py https://127.0.0.1
[*] Getting sysadmin access token
[*] Got access token
[*] Getting FolderID
[*] Got FolderID: 963611079
[*] Starting file upload
[*] Got FileID: 965943963
[*] Injecting the payload
[*] Payload injected
[*] Triggering payload via resume call
[+] Triggered the payload!
[*] Deleting uploaded file

缓解措施

更新到最新版本，或按照Progress Advisory中的说明进行缓解

• https://community.progress.com/s/article/MOVEit-Transfer-Critical-Vulnerability-31May2023

在Twitter上关注Horizon3.ai攻击团队以获取最新安全研究：

• Horizon3攻击团队
• James Horseman
• Zach Hanley

免责声明

本软件纯粹出于学术研究和开发有效防御技术的目的而创建，除非得到明确授权，否则不应用于攻击系统。项目维护者不对软件的滥用负责或承担法律责任。请负责任地使用。