ゆめさくセキュリティ

2023年5月31日、ソフトウェア (ファイル転送製品) とその利用組織

MOVEit Transfer の脆弱性の大規模悪用

入口

インターネットに公開された MOVEit Transfer のウェブアプリの未知の SQL インジェクション (CVE-2023-34362) を突かれ、LEMURLOOT というウェブシェルを置かれた

決め手の失敗

外部に公開したファイル転送製品に修正前の脆弱性 (ゼロデイ) があり、ウェブシェル経由で下のデータベースからデータを持ち出された

被害

公開された MOVEit Transfer のウェブアプリの下のデータベースからデータが盗まれた (CISA と FBI の AA23-158A)。Progress は政府の照会、法執行機関の捜査、訴訟が起きたと開示した

防げた対策

外部公開資産の棚卸し
緊急パッチの即時適用
ウェブシェルの検知
転送サーバー上のデータ保持期間の短縮

時系列

2023年5月27日公開情報によるとこの日から未知の SQL インジェクションの悪用が始まった (CISA と FBI の注意喚起による)
2023年5月28日Progress の MOVEit サポートに、顧客から異常な動きの連絡が入った
2023年5月30日Progress の調査チームがゼロデイの脆弱性を発見し、MOVEit Cloud を停止した
2023年5月31日Progress が全サポート版の修正を出し、同日 MOVEit Cloud を復旧した。ベンダーの勧告の日付を本件の公表日とする
2023年6月2日CISA が悪用済み脆弱性の一覧に CVE-2023-34362 を加えた
2023年6月7日CISA と FBI が共同の注意喚起 AA23-158A を出した

攻撃した側について

当局 (CISA と FBI の AA23-158A) は、公開情報によるとして CL0P ランサムウェア集団 (TA505 とも呼ばれる) が悪用したと述べている。CL0P は本データセットの攻撃者一覧に含めていない

学べるレッスン

出典

2026年10月24日に開いて確かめました。

Progress Software Form 10-Q (quarter ended May 31, 2023)Progress Software (SEC 提出書類)
AA23-158A #StopRansomware：CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit VulnerabilityCISA, FBI、2023年6月7日
CVE-2023-34362 (NVD)NIST NVD、2023年6月2日