Softwareleverancier Progress waarschuwt klanten voor een nieuw kritiek beveiligingslek in MOVEit Transfer waardoor een aanvaller vertrouwelijke data kan stelen. Onlangs werd een andere kritieke kwetsbaarheid op grote schaal door criminelen gebruikt om systemen met malware te infecteren en gegevens te stelen, waarmee organisaties vervolgens werden afgeperst. Progress roept alle klanten op om de nieuwe update te installeren.

MOVEit Transfer is een applicatie voor het uitwisselen van bestanden. Allerlei organisaties maken er gebruik van om onder andere vertrouwelijke informatie binnen de organisatie te delen. De Clop-ransomwaregroep zou sinds 2021 over een kwetsbaarheid hebben beschikt waarmee het mogelijk is om MOVEit-servers te infecteren en data te stelen. Tijdens het Memorial Day weekend in de Verenigde Staten vorige maand vond er grootschalig misbruik van het lek plaats. Voor dit beveiligingslek, aangeduid als CVE-2023-34362, kwam Progress eind mei met een update.

Naar aanleiding van de grootschalige aanval op klanten besloot Progress securitybedrijf Huntress onderzoek naar MOVEit Transfer uit te laten voeren. Dat onderzoek heeft verschillende nieuwe kwetsbaarheden opgeleverd, waaronder een kritiek beveiligingslek. Het gaat om meerdere SQL injection kwetsbaarheden waardoor een ongeauthenticeerde aanvaller ongeautoriseerde toegang tot de MOVEit-database kan krijgen.

Een aanvaller kan via de kwetsbaarheid een speciaal geprepareerde "payload" naar de de MOVEit-applicatie sturen en zo de inhoud van de database aanpassen en stelen. Voor deze kwetsbaarheid is nog geen CVE-nummer beschikbaar. Progress stelt dat alle klanten die van MOVEit gebruikmaken actie moeten ondernemen om de kwetsbaarheden te verhelpen.

Vorige week liet Landal GreenParks tegenover Security.NL weten dat het slachtoffer van de aanvallen op MOVEit Transfer was geworden en daarbij de gegevens van mogelijk twaalfduizend gasten zijn gestolen. Eerder maakten British Airways, BBC, de Britse apothekersketen Boots, de Ierse luchtvaartmaatschappij Aer Lingus en de Canadese provincie Nova Scotia bekend dat ze vanwege de aanval op MOVEit Transfer met datalekken te maken hebben gekregen.