Progress 修复12个MOVEit Transfer 高危漏洞

Do Son
Do Son

代码卫士

2026年10月20日 16:08
北京

去阅读

  聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Progress Software公司于2026年10月14日披露了MOVEit Transfer中的12个高危漏洞。这些漏洞可在托管文件传输环境中导致身份验证绕过、SQL注入、跨站脚本和本地权限提升后果。因此，系统管理员必须立即升级，防止未经授权的系统访问。

MOVEit Transfer 是一款企业托管文件传输 (MFT) 解决方案，供全球数千家组织用来传输敏感数据。虽然公告中未说明确切的受影响安装数量，但 MFT 服务器始终是勒索软件和数据勒索团伙的主要目标。

该安全公告提到，成功利用这些 MOVEit Transfer 漏洞可使攻击者绕过登录控制、提升权限或操纵数据库查询。目前尚无公开的概念验证，也未确认存在在野积极利用。

攻击原理

这12个缺陷涉及多个核心组件，包括 LDAP、OIDC、SFTP、Ad Hoc、自定义报表和客户端证书模块。

（1）身份验证绕过与访问控制缺陷

首先，有两个漏洞的 CVSS v3.1 基础评分最高，为 8.8。CVE-2026-89067 (CWE-288) 允许低权限远程攻击者使用替代路径或通道绕过 Secure Messaging 中的身份验证。同时，CVE-2026-87093  (CWE-732) 源于关键服务目录上的权限分配不当，允许本地用户提升权限。

其次，CVE-2026-89068（CVSS 8.1）在 LDAP 模块中遗漏了关键的身份验证步骤（CWE-304），允许未经身份验证的网络攻击者入侵服务器。此外，CVE-2026-89070（CVSS 7.5）允许通过 OIDC 模块中的捕获重放攻击绕过身份验证。在 SFTP 模块中，CVE-2026-89077（CVSS 7.5）引入了不正确的身份验证算法实现，而 CVE-2026-89072（CVSS 7.5）导致客户端证书模块中的授权不正确。

（2）注入与会话管理缺陷

其他几个缺陷针对输入验证和数据存储。具体而言，CVE-2026-89069（CVSS 8.0）是 Ad Hoc 模块中的跨站脚本（XSS）缺陷。类似地，CVE-2026-89071（CVSS 7.5）可导致 LDAP 注入，CVE-2026-89076（CVSS 7.2）允许高权限攻击者在自定义报表模块中执行 SQL 注入攻击。最后，Progress 修复了会话过期不足（CVE-2026-89073）、Unicode 编码处理不当（CVE-2026-89074）以及敏感数据存储不安全（CVE-2026-89075）的问题。

受影响版本

所有12个 MOVEit Transfer 漏洞影响 2025.1.6 之前的版本，以及 2026.0.0 至 2026.0.4 之前的版本。2025.1.6 和 2026.0.4 版本不受影响。

补丁与缓解步骤

Progress Software 在 MOVEit Transfer 2025.1.6 和 2026.0.4 版本中修复了全部12个漏洞。管理员应立即从 Progress Community 门户下载并应用相应的修复版本。此外，安全团队应审计本地服务器目录权限，并仅限可信网络访问管理控制台。

代码卫士试用地址：https://sast.qianxin.com/

开源卫士试用地址：https://oss.qianxin.com/

推荐阅读

Progress：存在可信外部威胁，ShareFile 管理员需立即关闭服务器

Progress 提醒注意严重的 MOVEit 自动化认证绕过漏洞

Progress ShareFile 漏洞可用于发动预认证 RCE 攻击

MOVEit Transfer 软件中存在高危的认证不当漏洞

原文链接

https://securityonline.info/progress-patches-moveit-transfer-vulnerabilities/

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

 觉得不错，就点个 “在看” 或 \"赞”