Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2025-10035 là lỗ hổng thuộc các loại Improper Neutralization of Special Elements used in a Command ('Command Injection') và Deserialization of Untrusted Data, ảnh hưởng tới GoAnywhere MFT (phiên bản bị ảnh hưởng: ≤ 7.8.3). Lỗ hổng này được xếp hạng ở mức Nghiêm trọng, với điểm CVSS 10. Lỗ hổng này đã được ghi nhận khai thác trong thực tế.
Một lỗ hổng deserialization trong License Servlet của Fortra's GoAnywhere MFT cho phép một actor có chữ ký license response bị giả mạo hợp lệ deserialize một object tùy ý do actor kiểm soát, có thể dẫn đến command injection.
7.8.3 là affected.7.6.x, 7.7.x và 7.8.x, đồng thời nêu 7.6.3 và 7.8.4 là các full release có bản sửa lỗi.7.8.3 không tự nó giải thích trạng thái của từng branch sau khi các bản sửa lỗi được phát hành, không nên coi mọi version thấp hơn hoặc bằng 7.8.3 đều còn vulnerable. Cần đối chiếu version thực tế với hướng dẫn branch-specific của Fortra.Fortra xác định thành phần bị ảnh hưởng là License Servlet của GoAnywhere MFT. Lỗi xảy ra khi servlet xử lý license response có chữ ký bị giả mạo hợp lệ rồi deserialize một object tùy ý do attacker kiểm soát. Trace mẫu trong advisory cho thấy luồng xử lý đi qua java.io.ObjectInputStream.readObject, java.security.SignedObject.getObject, các lớp com.linoma.license.gen2.BundleWorker và cuối cùng là LicenseResponseServlet.doPost. Những chi tiết này xác nhận đường đi của quá trình deserialization, nhưng chưa cho biết cách giả mạo chữ ký, payload object cụ thể hoặc cơ chế thực thi command chính xác. Khả năng khai thác phụ thuộc vào việc GoAnywhere Admin Console có thể truy cập từ Internet công cộng; Fortra cho biết các web component khác trong kiến trúc GoAnywhere không bị ảnh hưởng.
Theo dữ liệu được cung cấp, lỗ hổng có thể bị khai thác qua mạng, không yêu cầu application privileges hoặc user interaction, và có attack complexity thấp. Tuy nhiên, attacker vẫn cần tạo được license response với chữ ký bị giả mạo hợp lệ, đây là điều kiện kỹ thuật quan trọng của lỗ hổng. Bản ghi đánh dấu lỗ hổng là đã bị khai thác và có public exploit. Fortra cũng báo cáo đã phát hiện hoạt động đáng ngờ trên ba MFTaaS instance và một số báo cáo hạn chế về hoạt động trái phép liên quan đến lỗ hổng. Public evidence không xác định campaign, payload hoặc chuỗi khai thác cụ thể.
Nếu khai thác thành công, dữ liệu do attacker kiểm soát có thể được deserialize trong License Servlet và có thể dẫn đến command injection. Hậu quả kỹ thuật có thể bao gồm đọc hoặc sửa dữ liệu, thay đổi cấu hình, tạo hoạt động trái phép hoặc làm gián đoạn dịch vụ GoAnywhere MFT. Bản ghi chấm điểm mô tả tác động đến confidentiality, integrity và availability, nhưng các nguồn công khai chưa xác định chính xác privilege sau khi thực thi command hoặc khả năng di chuyển ngang.
Tác động bị giới hạn bởi điều kiện reachability của Admin Console: Fortra cho biết rủi ro tập trung vào console được expose trên public Internet. Việc một deployment không có log chỉ báo không chứng minh deployment đó chưa bị khai thác.
Successful exploitation có thể cho phép thực hiện command trên hệ thống chạy GoAnywhere MFT, từ đó đe dọa tính bí mật, toàn vẹn và khả dụng của dữ liệu hoặc dịch vụ file transfer. Một instance bị xâm nhập có thể cần điều tra hoạt động admin, xác minh tính toàn vẹn của cấu hình và đánh giá các hệ thống liên quan.
Rủi ro vận hành tập trung vào các deployment để Admin Console truy cập trực tiếp từ Internet. Fortra cho biết các web component khác không bị ảnh hưởng trực tiếp bởi lỗ hổng này và đã ghi nhận số lượng hạn chế các báo cáo về hoạt động trái phép tại thời điểm tổng kết điều tra. Điều đó không loại trừ rủi ro đối với các hệ thống chưa được vá hoặc đã có dấu hiệu khai thác.
7.8.4 hoặc Sustain Release 7.6.3.7.7.x: Áp dụng hotfix tương ứng do Fortra cung cấp cho branch này. Nguồn công khai được kiểm tra không nêu một final version cụ thể cho toàn bộ branch 7.7.x, vì vậy không nên tự suy ra một mốc version.userdata/logs/ để tìm các dấu hiệu được Fortra nêu, đặc biệt là SignedObject.getObject:. Nếu có dấu hiệu, thực hiện điều tra sự cố trước khi chỉ đơn giản đưa hệ thống trở lại Internet.userdata/logs/ các lỗi chứa chuỗi SignedObject.getObject: và xem xét exception stack trace liên quan đến việc parse license response. Sự xuất hiện của chuỗi này cho thấy instance có thể đã bị ảnh hưởng, nhưng không tự nó chứng minh toàn bộ mức độ xâm nhập.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
