Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en el archivo SILUtility.vb en la función MOVEit.DMZ.WebApp Progress MOVEit Transfer (CVE-2021-33894)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
09/06/2021
Última modificación:
22/06/2021

Descripción

En Progress MOVEit Transfer versiones anteriores a 2019.0.6 (11.0.6), versiones 2019.1.x anteriores a 2019.1.5 (11.1.5), versiones 2019.2.x anteriores a 2019.2.2 (11.2.2), versiones 2020.x anteriores a 2020.0.5 (12.0.5), versiones 2020.1. x anteriores a 2020.1.4 (12.1.4), y versiones 2021.x anteriores a 2021.0.1 (13.0.1), se presenta una vulnerabilidad de inyección SQL en el archivo SILUtility.vb en la función MOVEit.DMZ.WebApp en la aplicación web MOVEit Transfer. Esto podría permitir a un atacante autenticado conseguir acceso no autorizado a la base de datos. Dependiendo del motor de la base de datos usado (MySQL, Microsoft SQL Server o Azure SQL), un atacante puede ser capaz de inferir información sobre la estructura y el contenido de la base de datos y/o ejecutar sentencias SQL que alteren o eliminen elementos de la base de datos

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:progress:moveit_transfer:*:*:*:*:*:*:*:* 2019.0.6 (excluyendo)
cpe:2.3:a:progress:moveit_transfer:*:*:*:*:*:*:*:* 2019.1 (incluyendo) 2019.1.5 (excluyendo)
cpe:2.3:a:progress:moveit_transfer:*:*:*:*:*:*:*:* 2019.2 (incluyendo) 2019.2.2 (excluyendo)
cpe:2.3:a:progress:moveit_transfer:*:*:*:*:*:*:*:* 2020.0 (incluyendo) 2020.0.5 (excluyendo)
cpe:2.3:a:progress:moveit_transfer:*:*:*:*:*:*:*:* 2020.1 (incluyendo) 2020.1.4 (excluyendo)
cpe:2.3:a:progress:moveit_transfer:*:*:*:*:*:*:*:* 2021.0 (incluyendo) 2021.0.1 (excluyendo)