GoAnywhere MFT

Die Schwachstelle steckt in Fortra GoAnywhere MFT, einer Software für den verwalteten und abgesicherten Dateitransfer. Verwundbar ist das sogenannte License Response Servlet, ein Bestandteil der Lizenzverarbeitung. Der Kern des Problems liegt in der Deserialisierung: Die Anwendung nimmt ein vom Angreifer kontrolliertes Objekt entgegen und wandelt es zurück in eine verwendbare Datenstruktur, ohne den Inhalt ausreichend zu prüfen. Über dieses präparierte Objekt lässt sich eine Befehlsinjektion auslösen, durch die der Angreifer eigene Befehle einschleust und auf dem System aus der Ferne beliebigen Code ausführt. Entscheidend ist, dass dafür keinerlei Anmeldung nötig ist – der Angriff funktioniert vor jeder Authentifizierung. Damit kann ein unbefugter Angreifer ohne gültige Zugangsdaten die Kontrolle über die betroffene Installation übernehmen. Da GoAnywhere MFT typischerweise zur Anbindung an externe Partner dient und entsprechend exponiert betrieben wird, ist diese Komponente ein besonders attraktiver Angriffspunkt.