Lưu ý: Dữ liệu này chỉ có tính chất tham khảo, phục vụ nghiên cứu an ninh mạng.CyStack khuyến nghị người dùng không sử dụng các thông tin này nhằm các mục đích bất hợp pháp
Lỗ hổng CVE-2026-1089 là lỗ hổng Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection') ảnh hưởng tới GoAnywhere MFT (phiên bản bị ảnh hưởng: < 7.10.0). Lỗ hổng này được xếp hạng ở mức Trung bình, với điểm CVSS 6.5. Các nguồn hiện có chưa ghi nhận lỗ hổng này bị khai thác.
HTTP Header do người dùng kiểm soát trong Fortra's GoAnywhere MFT trước phiên bản 7.10.0 cho phép kẻ tấn công kích hoạt một truy vấn DNS, cũng như DNS Rebinding và làm lộ thông tin.
version từ 0 và nhỏ hơn 7.10.0 được đánh dấu affected theo kiểu phiên bản semver.unaffected trong bản ghi.7.10.0 và hướng dẫn nâng cấp lên 7.10.0 or later. Bản ghi không liệt kê riêng từng nhánh phát hành song song hoặc các phiên bản sau đó.Fortra GoAnywhere MFT xử lý một HTTP header do người dùng kiểm soát theo cách cho phép giá trị đầu vào tác động đến thành phần downstream và kích hoạt truy vấn DNS. Lỗi này được phân loại là CWE-74, tức dữ liệu đầu vào không được trung hòa phù hợp trước khi được sử dụng bởi thành phần khác. Theo dữ liệu được cung cấp, việc khai thác có thể thực hiện qua mạng, không yêu cầu xác thực hoặc tương tác của người dùng. Mô tả cũng ghi nhận khả năng DNS rebinding và lộ thông tin, nhưng không xác định tên header, endpoint, thành phần downstream, dữ liệu có thể bị tiết lộ hoặc điều kiện cụ thể để DNS rebinding tác động đến tài nguyên khác. Vì vậy, không nên suy diễn từ bản ghi hiện có rằng lỗi này cho phép truy cập vào một dịch vụ nội bộ hoặc thực hiện thay đổi dữ liệu.
Lỗi có thể bị kích hoạt từ xa qua mạng bằng HTTP request chứa header do kẻ tấn công kiểm soát. Vector được cung cấp cho thấy không yêu cầu quyền truy cập, xác thực hoặc tương tác của người dùng, và độ phức tạp khai thác thấp. Bản ghi được cung cấp đặt public_exploit là false; phần enrichment của CISA gắn với bản ghi đánh dấu trạng thái exploitation là none và khả năng tự động hóa là yes. Các trạng thái này không chứng minh rằng không thể phát triển exploit trong tương lai. Bản ghi công khai không cung cấp payload, tên header, endpoint hoặc chuỗi khai thác cụ thể.
Khai thác thành công có thể khiến GoAnywhere MFT thực hiện truy vấn DNS do kẻ tấn công định hướng, hỗ trợ hành vi DNS rebinding và làm lộ thông tin. Bản ghi đánh giá tác động đến tính bảo mật ở mức giới hạn, không ghi nhận tác động đến tính toàn vẹn và giữ phạm vi tác động trong cùng một security authority. Việc khai thác không yêu cầu quyền truy cập hoặc tương tác của người dùng, nên các instance có endpoint mạng dễ tiếp cận cần được ưu tiên xử lý. Nội dung hiện có không xác định dữ liệu bị lộ, tài nguyên đích, khả năng vượt qua ranh giới tin cậy hoặc mức độ ảnh hưởng đến dịch vụ trong một triển khai cụ thể.
Kẻ tấn công có thể buộc máy chủ GoAnywhere MFT thực hiện các truy vấn DNS ngoài dự kiến, tạo thêm lưu lượng và phụ thuộc vào hệ thống phân giải tên của tổ chức. DNS rebinding có thể làm tăng rủi ro đối với các quyết định tin cậy dựa trên hostname, nhưng bản ghi hiện có không xác nhận một đường đi cụ thể đến tài nguyên nội bộ. Lỗi cũng có thể dẫn đến lộ một lượng thông tin hạn chế; loại dữ liệu và phạm vi lộ dữ liệu chưa được công bố. Vector được cung cấp không cho thấy tác động đến tính toàn vẹn dữ liệu, trong khi tác động đến tính sẵn sàng được đánh giá là có giới hạn.
7.10.0 or later, theo hướng dẫn của Fortra.7.10.0.Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
vi
