Aller au contenu
Retour à la recherche

CVE-2023-34362

CRITICAL
9.8 RansomwareNVD

Résumé

généré automatiquement à partir des données NVD

Progress MOVEit Transfer est affecté par une injection SQL (CWE-89) dans son application web, qui permet à un attaquant non authentifié d'accéder à la base de données. Selon le moteur utilisé (MySQL, Microsoft SQL Server ou Azure SQL), il peut déduire la structure et le contenu de la base, et exécuter des instructions SQL modifiant ou supprimant des éléments. La faille figure au catalogue CISA KEV, avec une utilisation connue dans des campagnes de rançongiciel, et son score CVSS v3.1 est de 9.8 (critique).

Description NVD (anglais)

In Progress MOVEit Transfer before 2021.0.6 (13.0.6), 2021.1.4 (13.1.4), 2022.0.4 (14.0.4), 2022.1.5 (14.1.5), and 2023.0.1 (15.0.1), a SQL injection vulnerability has been found in the MOVEit Transfer web application that could allow an unauthenticated attacker to gain access to MOVEit Transfer's database. Depending on the database engine being used (MySQL, Microsoft SQL Server, or Azure SQL), an attacker may be able to infer information about the structure and contents of the database, and execute SQL statements that alter or delete database elements. NOTE: this is exploited in the wild in May and June 2023; exploitation of unpatched systems can occur via HTTP or HTTPS. All versions (e.g., 2020.0 and 2019x) before the five explicitly mentioned versions are affected, including older unsupported versions.

Partager :

⚠️ Activement exploitée — CISA KEV

Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2023-06-02. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.

Échéance de remédiation (agences fédérales US): 2023-06-23

Utilisée dans des campagnes de ransomware connues.

EPSS · FIRST.org

99,9 %de probabilité d'exploitation dans les 30 prochains jours

Supérieure à 99 % des CVE notées

L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.

Articles d'analyse sur cveo.tech

Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.

Score CVSS v3.1

9.8
/ 10.0
CRITICAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Informations

Publié
2 juin 2023
Mis à jour
17 juin 2026
Statut
Analyzed
Source
cve@mitre.org

Produits affectés

progress moveit cloud
Versions : 14.0.5.45, 14.1.6.97, 15.0.2.39
progress moveit transfer
Versions : 2021.0.7, 2021.1.5, 2022.0.5, 2022.1.6, 2023.0.2

Faiblesses (CWE)

CWE-89CWE-89

Références (7)

CVEs similaires

Autres vulnérabilités de type CWE-89

…

Surveillez vos produits

Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.

Activer la surveillance