ゆめさくセキュリティ

2023年5月28日に発覚、海外、ソフトウェア (ファイル転送製品) とその利用組織

MOVEit Transfer の脆弱性の大規模悪用

ファイル転送製品の未知の SQL インジェクションを突かれ、多くの利用組織のデータが盗まれた

何があったか

2023年5月27日から、MOVEit Transfer を狙った攻撃が始まった。MOVEit Transfer は Progress Software 社のファイル転送製品で、組織のファイルのやり取りを受け持ち、インターネットに公開されたウェブアプリを持つ。CISA と FBI の注意喚起によると、攻撃者はこのウェブアプリのまだ知られていなかった SQL インジェクションの脆弱性 (CVE-2023-34362) を突いてウェブシェルを置き、下のデータベースからデータを盗んだ。

5月28日の夜 (米東部時間)、Progress の MOVEit のサポート窓口に、顧客から自分の MOVEit Transfer で異常な動きがあるという最初の連絡が入った。調査チームが動き、5月30日にゼロデイの脆弱性を見つけた。権限を不正に引き上げ、顧客の下の環境に入れるおそれのある物だった。Progress は同じ日に全ての MOVEit Transfer と MOVEit Cloud の顧客に連絡して直ちに取る対策を知らせ、クラウド版の MOVEit Cloud を止めた。5月31日に全てのサポート版の修正を出し、同じ日に MOVEit Cloud を戻した。

CISA は悪用の証拠をもとに、6月2日にこの脆弱性を悪用が確認された脆弱性の一覧に加え、6月7日に FBI と共同の注意喚起を出した。Progress は6月5日に米証券取引委員会へ届け出を出し、7月7日の四半期報告書では、一部の顧客が攻撃者に環境と機微なデータの一部へ入られたと報告していること、データを持ち出されたという個人から11件の集団訴訟が起きたこと、法執行機関やデータ保護の当局から照会と1件の正式な調査を受けていることを開示した。

入口
インターネットに公開された MOVEit Transfer のウェブアプリにあった、まだ知られていなかった SQL インジェクションの脆弱性 (CVE-2023-34362) を突かれた
決め手の失敗
多くの組織が外に公開して使うファイル転送製品に、修正の無いゼロデイの脆弱性があった。認証の無い攻撃者が製品のデータベースに届き、置かれたウェブシェルから下のデータベースのデータを盗まれた
被害
公開された MOVEit Transfer の下のデータベースからデータが盗まれた。一部の顧客は環境と機微なデータの一部に入られたと Progress に報告した。2023年7月7日の時点で11件の集団訴訟が起き、4社の顧客が Progress に補償を求める意向を示した

攻撃の流れ

  1. 入口インターネットに公開された MOVEit Transfer のウェブアプリで、まだ知られていなかった SQL インジェクションの脆弱性を突かれた。認証の無い攻撃者が製品のデータベースに入れる物だった
  2. 権限の奪取脆弱性を足掛かりに、ウェブアプリにウェブシェルを置かれ、感染したサーバーを操られるようになった
  3. 持ち出しウェブシェルを使って、下の MOVEit Transfer のデータベースからデータを盗まれた
  4. 影響多くの利用組織で同じ脆弱性が突かれ、一部の顧客は環境と機微なデータの一部に入られたと報告した。クラウド版でも、専用の環境を使う2社の顧客が脆弱性を突かれて環境に入られたと報告した

数字で見る

  • 7系列 影響を受ける MOVEit Transfer の版の系列[1] 2020.0.x から 2023.0.0 まで。資料の一覧を数えた
  • 4日 悪用の始まりから修正の公開まで[2] 5月27日 (CISA と FBI の注意喚起) から5月31日 (Progress の届け出)。資料の日付から数えた
  • 11件 集団訴訟[3] 2023年7月7日の四半期報告書の時点
  • 4社 補償を求める意向を示した顧客[3] 同上
  • 2社 脆弱性を突かれたと報告した専用クラウドの顧客[3] 同上
  • 1件 法執行機関やデータ保護の当局の正式な調査[3] ほかに複数の照会。同上
  • 約4% MOVEit Transfer と MOVEit Cloud の売上の割合[3] 2023年5月31日までの6か月

気づいたきっかけ

2023年5月28日の夜 (米東部時間)、Progress の MOVEit のサポート窓口に、顧客から MOVEit Transfer で異常な動きがあるという最初の連絡が入った。調査チームが5月30日にゼロデイの脆弱性を見つけた

対応と復旧

5月30日に全ての MOVEit Transfer と MOVEit Cloud の顧客に脆弱性と直ちに取る対策を知らせ、調べるために MOVEit Cloud を止めた。並行して全てのサポート版の修正を作り、5月31日に出して同じ日に MOVEit Cloud を戻した。外部のセキュリティの専門家に調査を頼み、外部の弁護士による独立した調査を始め、連邦の法執行機関などと連携した

組織が認めた原因と、決めた対策

認めた原因

  • MOVEit Transfer (クラウド版の MOVEit Cloud を含む) にゼロデイの脆弱性があり、権限を不正に引き上げ、顧客の下の環境に入れるおそれがあった
  • MOVEit Transfer のウェブアプリに SQL インジェクションの脆弱性があり、認証の無い攻撃者が MOVEit Transfer のデータベースに入れた (NVD の説明)

公表した再発防止策

  • 全てのサポート版に修正を出した (Progress)
  • 脆弱性への対処と MOVEit のアプリ全体の安全を強めるための追加の対策を進める (Progress)
  • 外部の弁護士による独立した調査を行う (Progress)
  • 資産とデータの一覧を作り、ソフトウェアを最新の版に保ち、定期的に脆弱性を評価する (CISA と FBI の推奨)
  • 悪用が確認された脆弱性から優先して修正を当てる (CISA と FBI の推奨)

自分のサービスで確かめること

  • インターネットに公開しているファイル転送などの製品を一覧にし、持ち主と版を確かめる
  • 使っている製品に悪用が確認された脆弱性が出た時、誰が知らせを受け、何日で修正を当てるか決まっているか確かめる
  • ウェブアプリのデータベースへの問い合わせが、利用者の入力を文字列として組み立てていないか確かめる
  • 公開サーバーに見覚えの無いファイルや新しいアカウントが増えていないか、定期的に見る仕組みがあるか確かめる
  • ファイル転送の製品に、もう要らない古いファイルを置いたままにしていないか確かめる

関わる攻撃とレッスン

攻撃の種類

学べるレッスン

時系列

  1. 5月27日 侵入 公開情報によると、この日から CL0P が MOVEit Transfer の未知の SQL インジェクションの脆弱性を突き始めた[1]
  2. 5月28日 発覚 夜 (米東部時間) に Progress のサポート窓口へ、顧客から MOVEit Transfer で異常な動きがあるという最初の連絡が入った[2]
  3. 5月30日 対応 調査チームがゼロデイの脆弱性を見つけ、全ての顧客に知らせ、MOVEit Cloud を止めた[3]
  4. 5月31日 復旧 全てのサポート版の修正を出し、同じ日に MOVEit Cloud を戻した[2]
  5. 6月2日 対応 CISA が悪用が確認された脆弱性の一覧に CVE-2023-34362 を加えた[1]
  6. 6月5日 公表 Progress が米証券取引委員会に届け出 (Form 8-K) を出し、経緯を開示した[2]
  7. 6月7日 公表 CISA と FBI が共同の注意喚起 AA23-158A を出した[1]
  8. 7月7日 公表 Progress が四半期報告書 (Form 10-Q) で、集団訴訟11件と当局の照会や調査を開示した[3]

攻撃した側について

公的機関が名指しした攻撃者 CL0P Ransomware Gang (TA505)

CISA と FBI の共同の注意喚起 AA23-158A が、公開情報によるとして CL0P Ransomware Gang (別名 TA505) が2023年5月27日からこの脆弱性を突き始めたと名指しした。Progress は届け出の中で攻撃者を「悪意のある攻撃者」とだけ書き、名前を挙げていない

出典

2026年10月24日に開いて確かめました。本文の [1] などの数は、この一覧の番号です。

  1. CL0P ランサムウェア集団による MOVEit の脆弱性 CVE-2023-34362 の悪用に関する共同の注意喚起 (AA23-158A) CISA、FBI、2023年6月7日、公的機関の資料
  2. Progress Software Form 8-K (2023年6月5日提出、Item 8.01) Progress Software (SEC 提出書類)、2023年6月5日、被害組織の資料
  3. Progress Software Form 10-Q (2023年5月31日までの四半期) Progress Software (SEC 提出書類)、2023年7月7日、被害組織の資料
  4. CVE-2023-34362 (NVD の CVE API) NIST NVD、2023年6月2日、公的機関の資料