MOVEit Transfer — Zero-Day SQL Injection, massenhafter Datendiebstahl

Was geschah

Am 31. Mai 2023 meldete Progress Software eine kritische SQL-Injection-Schwachstelle in MOVEit Transfer — einer Managed-File-Transfer-Software (MFT), die von Banken, Gesundheitswesen und Regierungsbehörden genutzt wird. Die Cl0p-Ransomware-Gruppe hatte sie bereits seit dem 27. Mai ausgenutzt, Tage bevor der Patch verfügbar war. Sie injizierten SQL über die Header X-siLock-Step1 und X-siLock-Step2, um die gesamte Datenbank zu dumpen, und nutzten dann eine zweite Schwachstelle (CVE-2023-35036), um auf das Dateisystem zu gelangen.

Ursache

SQL-Injection in einem SOAP-ähnlichen API-Endpunkt. Der Endpunkt /guestaccess.aspx akzeptierte speziell gestaltete Header, die ohne Parametrisierung direkt in SQL-Abfragen interpoliert wurden. Der Angreifer konnte Datenbankinhalte einschließlich Dateimetadaten, Benutzeranmeldedaten und Azure-Blob-Speicherschlüssel extrahieren. Eine zweite Schwachstelle erlaubte das Schreiben von Webshells auf die Festplatte über manipulierte Dateinamen.

Wer war betroffen

• 2.700+ Organisationen als kompromittiert bestätigt
• 95+ Millionen gestohlene Personendaten
• Shell, British Airways, BBC, PwC
• U.S. Department of Energy, Department of Health
• Geschätzte Lösegeldzahlungen: 75–100 Millionen Dollar

Wie es erkannt wurde

Huntress und Mandiant entdeckten die Ausnutzung bei der Untersuchung anomalen MOVEit-Serververhaltens. Die Angreifer waren in Kundenumgebungen und stahlen Daten, während das CVE noch analysiert wurde. Die forensische Analyse enthüllte den SQL-Injection-Vektor in IIS-Logs mit ungewöhnlichen HTTP-Anfragen an /guestaccess.aspx.

Wie es behoben wurde

Progress veröffentlichte Patches innerhalb von 48 Stunden nach der ersten Meldung. Drei CVEs, drei Patches, ein Produkt — alle innerhalb von zwei Wochen entdeckt.

Lehren für Ihr SaaS

• Jeder Dateitransfer-Endpunkt ist ein Ziel. Wenn Ihr SaaS Datei-Uploads, -Downloads oder -Transfers verarbeitet, verdienen diese Endpunkte die aggressivste Sicherheitsprüfung — nicht die geringste.
• Anbieterrisiko ist Ihr Risiko. Wenn Sie MOVEit als Anbieter nutzten und nicht wussten, dass es in Ihrer Lieferkette war, hafteten Sie dennoch für den Verstoß.
• Wochen zählen. Cl0p nutzte die Zero-Day-Lücke 4 Tage vor der Meldung aus. Wenn Ihr Anbieter kein anomalies Verhalten in seinen eigenen Produkten überwacht, sind Sie die Erkennungsebene.