Une poignée de produits MFT a servi de vecteur à des campagnes de vol de données à grande échelle, chacune via une faille non authentifiée ou contournable qui atteignait l'exécution de code à distance ou l'accès massif aux fichiers. Ils méritent d'être connus spécifiquement, car ces produits sont largement déployés et tournés vers Internet, de sorte que dresser l'empreinte de l'un d'eux et faire correspondre sa version mène fréquemment tout droit à un exploit utilisable et à fort impact.
- MOVEit Transfer : une chaîne d'injection SQL non authentifiée menant à l'accès aux fichiers et à l'exécution de code, exploitée en masse pour du vol de données.
- GoAnywhere MFT : une faille d'authentification/désérialisation dans l'interface d'administration donnant une exécution de code à distance.
- CrushFTP : contournement d'authentification et failles associées atteignant l'accès administrateur et aux fichiers.
- Serv-U : failles de gestion des entrées atteignant l'exécution de code ou la divulgation de fichiers.
Utiliser le schéma#
# identify the MFT product and version, then match to its campaign
curl -skI https://<target>/
curl -sk https://<target>/ | grep -iE 'moveit|goanywhere|crushftp|serv-u'
Dressez l'empreinte du produit et de la version et faites correspondre au bulletin spécifique ; la plupart de ces failles sont non authentifiées, de sorte qu'atteindre le portail est la principale condition préalable. Les classes de mécanismes figurent sur les pages contournement d'authentification et injection vers RCE.