Deux nouvelles vulnérabilités découvertes dans MOVEit

Progress Software a révélé, fin juin 2024, deux vulnérabilités critiques dans MOVEit, sa solution de transfert de fichiers hautement sécurisé. Ces failles pourraient permettre de contourner le système d’authentification, et donc d’exfiltrer les données échangées. Un correctif est disponible depuis le 11 juin 2024. Progress Software enjoint ses utilisateurs « à bloquer l’accès RDP entrant à MOVEit Transfer, et à limiter l’accès sortant aux seuls serveurs de confiance ». 

Le CERT-FR de l’Anssi a déjà identifié des codes publics d’exploitation de ces vulnérabilités. La société de cybersécurité Censys évalue à 2 700 les instances MOVEit Transfer vulnérables dans le monde, essentiellement aux États-Unis. Shadowserver, une fondation de recherche sur la cybermalveillance, en a recensé 337 dans l’Union européenne. Aucune cyberattaque liée à ces deux failles n’est toutefois attestée pour l’heure.

Au printemps 2023, le groupe cybercriminel russe Clop avait exploité plusieurs vulnérabilités dans MOVEit, et dérobé des données sensibles à 2 692 organisations, représentant 96 millions d’utilisateurs. Les victimes étaient majoritairement des grandes entreprises et des acteurs publics provenant des États-Unis et du Royaume-Uni. Des organisations gouvernementales américaines, des institutions financières britanniques, la BBC ou British Airways en faisaient partie.