Fortra GoAnywhere MFT không giới hạn đăng nhập SFTP, cho phép brute force SSH key

Giới hạn đăng nhập không được áp dụng trên dịch vụ SFTP của GoAnywhere MFT của Fortra trước 7.10.0 khi Web User được cấu hình đăng nhập bằng SSH Key, khiến SSH key có thể bị đoán bằng Brute Force.

• Fortra GoAnywhere MFT: bị ảnh hưởng ở các phiên bản nhỏ hơn 7.10.0 khi Web User được cấu hình đăng nhập bằng SSH Key.
• Bản ghi chuẩn hóa đặt trạng thái mặc định của sản phẩm là unaffected, nhưng đồng thời xác định nhánh phiên bản nhỏ hơn 7.10.0 là affected trong điều kiện cấu hình nêu trên.
• Bản ghi không liệt kê riêng các nhánh phát hành song song hoặc các phiên bản sau mốc này; cần xác minh trạng thái của những nhánh đó với Fortra.

Điểm yếu thuộc CWE-307: hạn chế không đúng đối với các lần thử xác thực quá mức. Lỗi nằm ở cơ chế áp dụng login limit của dịch vụ SFTP khi Web User đích được cấu hình đăng nhập bằng SSH Key. Dữ liệu do kẻ tấn công kiểm soát là chuỗi các lần thử xác thực SSH và các giá trị dùng để đoán key. Theo các đặc tính tấn công trong bản ghi, dịch vụ có thể bị truy cập qua mạng mà không cần quyền trước hoặc tương tác của người dùng. Điều kiện quan trọng là tài khoản Web User phải được cấu hình đăng nhập bằng SSH Key. Bản ghi không mô tả chi tiết đường dẫn triển khai bị lỗi, ngưỡng giới hạn dự kiến, hoặc cách biểu diễn cụ thể của key.

• Khả năng tiếp cận: Lỗi có thể bị khai thác qua dịch vụ SFTP trên mạng.
• Xác thực và tương tác: Bản ghi cho biết không cần quyền trước và không cần tương tác của người dùng.
• Điều kiện: Web User mục tiêu phải được cấu hình đăng nhập bằng SSH Key.
• Độ phức tạp: Việc thiếu login limit cho phép lặp lại các lần thử đoán key mà không bị chặn theo cơ chế dự kiến.
• Trạng thái khai thác: Bản ghi được cung cấp không xác định khai thác thực tế đã xảy ra. Bản ghi cũng không nhận diện public exploit; điều này không chứng minh rằng chưa từng có khai thác.

Nếu việc đoán SSH key thành công, kẻ tấn công có thể truy cập vào Web User liên quan và thực hiện các thao tác mà tài khoản đó được phép thực hiện. Hậu quả có thể gồm lộ dữ liệu, sửa đổi hoặc xóa tệp, và làm gián đoạn quy trình trao đổi tệp, tùy thuộc vào quyền của tài khoản. Bản ghi không xác lập việc leo thang lên quyền quản trị, xâm nhập máy chủ nền hoặc mở rộng phạm vi sang các tài khoản khác. Vì vậy, tác động thực tế bị giới hạn hoặc mở rộng theo quyền tài khoản và mức độ phơi bày của dịch vụ SFTP.

• Có thể dẫn đến truy cập trái phép vào Web User SFTP nếu SSH key của tài khoản bị đoán thành công.
• Tùy theo quyền của tài khoản, dữ liệu được truyền qua SFTP có thể bị đọc, sửa đổi hoặc xóa trái phép.
• Các lần đăng nhập và thao tác trái phép cũng có thể ảnh hưởng đến tính sẵn sàng của dịch vụ hoặc quy trình trao đổi tệp.
• Mức độ ảnh hưởng thực tế phụ thuộc vào quyền của từng Web User, dữ liệu được tài khoản truy cập và phạm vi mạng của dịch vụ SFTP.

1. Nâng cấp các triển khai nằm trong phạm vi bị ảnh hưởng lên 7.10.0, là mốc phiên bản được dữ liệu affected xác định, hoặc lên bản phát hành khác mà Fortra xác nhận đã vá cho đúng nhánh triển khai.
2. Trước và sau khi nâng cấp, kiểm kê các Web User dùng SSH Key và xác định những tài khoản có quyền truy cập dữ liệu nhạy cảm hoặc quyền ghi/xóa tệp.
3. Xác nhận phiên bản sau nâng cấp và kiểm tra lại cấu hình SFTP của các Web User bị ảnh hưởng.
4. Bản ghi chỉ cung cấp hướng dẫn nâng cấp, không nêu biện pháp giảm thiểu tạm thời cụ thể từ nhà cung cấp. Không nên coi thay đổi cấu hình chưa được Fortra xác nhận là bản vá thay thế.

1. Kiểm kê các máy chủ Fortra GoAnywhere MFT và các SFTP endpoint đang được công khai hoặc cho phép truy cập từ mạng không tin cậy.
2. Kiểm tra phiên bản triển khai và đối chiếu với phạm vi bị ảnh hưởng trong bản ghi.
3. Xác định các Web User được cấu hình đăng nhập bằng SSH Key, đặc biệt là những tài khoản có quyền đọc, ghi hoặc xóa tệp.
4. Rà soát telemetry xác thực SFTP hiện có để tìm các chuỗi nhiều lần đăng nhập thất bại nhằm vào những tài khoản này. Các lần thất bại lặp lại là tín hiệu cần điều tra, không phải IOC được nhà cung cấp xác nhận.
5. Sau khi cập nhật, xác nhận phiên bản đã được thay đổi và kiểm tra lại cấu hình đăng nhập của các Web User bị ảnh hưởng.