Altri guai per i creatori di MOVEit: 8 falle di sicurezza in WS_FTP

Progress Software, produttore dello strumento di trasferimento di documenti MOVEit, è tornato a far parlare di sé per una falla di sicurezza in un suo programma.

Dopo il disastroso attacco che ha coinvolto il suddetto software, anche il gestore di file WS_FTP è stato protagonista di un exploit potenzialmente molto pericoloso.

Secondo gli esperti, infatti, tra il sistema di trasferimento dati e l’interfaccia di gestione del server, sono state individuate ben otto vulnerabilità, con punteggi di gravità CVSS che vanno da 5,3 fino a 10 su 10. La software house, dal canto suo, è intervenuta prontamente con una patch correttiva che ha risolto tutti i problemi precedentemente individuati.

Progress Software sono già intervenuti con una patch correttiva per aggiornare WS_FTP

Stando ai ricercatori, tutte le versioni di WS_FTP Server precedenti alla 8.7.4 e alla 8.8.2 sono vulnerabili a un attacco di deserializzazione .NET da parte di un utente malintenzionato pre-autenticato. In caso di successo, l’aggressore potrebbe eseguire comandi sul sistema host, sfruttando le altre sette vulnerabilità, che permettono un’interazione su vari livelli rispetto al gestore di file.

Secondo il sito web di Progress, WS_FTP è utilizzato da alcuni clienti di alto profilo, tra cui il negozio di abbigliamento H&M e la squadra di football americano dei Denver Broncos, solo per citarne alcuni. A queste aziende e al resto della comunità WS_FTP viene consigliato di aggiornare immediatamente l’applicazione.

Per Progress si tratta di un altro duro colpo dopo il caso MOVEit che, nel corso degli scorsi mesi, ha visto 400 organizzazioni vittime di attacchi avvenuti attraverso l’attacco del gruppo ransomware Cl0p. Oltre ai danni d’immagine, gli sviluppatori stanno affrontando anche diverse cause legali legate a tale spiacevole episodio.

Progress ha affermato di non aver riscontrato prove che le vulnerabilità WS_FTP siano state sfruttate in modo massiccio, anche se dichiarazioni simili sono già state rilasciate in occasione dal precedente caso legato a MOVEit.