Progress WS_FTP の脆弱性 CVE-2023-42659 が FIX：無制限アクセスが生じる

CVE-2023-42659: Critical Vulnerability Discovered in Progress WS_FTP Server

2023/11/07 SecurityOnline — ファイル共有プラットフォーム MOVEit Transfer の開発元である Progress Software だが、最新のサイバー・セキュリティ警告の中で、同社の WS_FTP Server ソフトウェアに存在する深刻な脆弱性に直ちにパッチを適用するよう、顧客に対して促している。この脆弱性 CVE-2023-42659 (CVSS：9.1) は、WS_FTP サーバ・アプリケーションをホストする OS 上の任意の場所に、認証された Ad Hoc Transfer ユーザーによるファイル・アップロードを許してしまう。この破壊的な脆弱性の悪用に成功した攻撃者が、機密データへの無制限のアクセスを許可されることで、システム全体を危険にさらす可能性が生じる。

WS_FTP Server は、エンタープライズ・グレードのファイル転送ソフトウェアとして広く使用されており、世界中の何千もの IT チームで採用されている。脆弱性 CVE-2023-42659 は、8.7.6／8.8.4 未満のバージョンに影響し、かなりの数のサーバが悪用の可能性にさらされている。

Progress は、「バージョン 8.7.6／8.8.4 未満の WS_FTP Server において、無制限のファイル・アップロードの欠陥が確認されている。認証された Ad Hoc Transfer ユーザーであれば、WS_FTP Server アプリケーションをホストしている OS 上の、指定した場所にファイルをアップロードする API コールを作成できる」と説明している。

Progress Software は、パッチを適用したリリースである 8.7.6／8.8.4 にアップグレードすることが、この脆弱性を効果的に修正する唯一の方法だと強調している。ただし、アップグレード処理により WS_FTP Server サービスが一時的に停止し、短時間の停止が発生することに、ユーザーは注意する必要がある。

アップグレードによる障害を最小限に抑えるには、システムの使用率が低い時間帯にアップデートのスケジュールを立てることが推奨される。さらに、アップグレードを実行する前に、WS_FTP Server コンフィグレーションの完全なバックアップを作成することが重要となる。

それぞれのユーザー組織に対して推奨されるのは、この脆弱性への対応を優先し、WS_FTP Server をパッチ適用済のバージョンに、直ちにアップグレードすることだ。この重大な欠陥に迅速に対処することで、システムや機密データの悪用から、組織を守る必要がある。

ご難続きの Progress ですが、WS_FTP の新たな脆弱性 CVE-2023-42659 が FIX とのことです。ご利用のチームは、パッチをお急ぎください。直近の WS_FTP 関連の記事としては、2023/10/12 の「WS_FTP Server の脆弱性 CVE-2023-40044：ランサムウェア攻撃が始まっている」があります。よろしければ、WS_FTP で検索も、ご利用ください。