Deep-Dive : découvrez de près la vulnérabilité zero-day MOVEit

Les cyberattaques de la chaîne d'approvisionnement logicielle sont de plus en plus courantes, ce qui entraîne une série de modifications législatives au niveau du gouvernement américain, tandis que les entreprises s'efforcent d'atténuer leur profil de risque étendu et d'améliorer rapidement la qualité des logiciels. Rien que cette année, trois vulnérabilités zero-day ont été découvertes dans les services de partage de fichiers, la plus importante et la plus destructrice étant l'exploit de masse MOVEit.

Mené par le groupe de rançongiciels CL0P, l'incident MOVEit domine l'actualité de la cybersécurité depuis un certain temps, touchant plus de 1 000 entreprises. Ce chiffre devrait continuer à augmenter, ce qui en fait l'une des attaques les plus puissantes contre la chaîne d'approvisionnement logicielle depuis Solarwinds en 2021.

Le catalyseur de cette violation généralisée a été un ensemble de vulnérabilités liées à l'injection SQL, qui a finalement reçu un score de gravité de 9,8 sur 10 chez MITRE. L'injection SQL est la principale préoccupation des professionnels de la sécurité depuis la fin des années 90 et, bien qu'il s'agisse d'une solution assez simple, elle continue de se retrouver dans les logiciels modernes et de fournir des données sensibles aux acteurs de la menace.

Le scénario MOVEit est légèrement différent de ce que de nombreux développeurs et professionnels de l'AppSec ont pu expérimenter auparavant, et vous pouvez tester vos compétences en matière de destruction de SQLI lors d'une simulation en direct ici :

>>> JOUEZ À LA MISSION MOVEit

La vulnérabilité : injection SQL

Comment exactement l'injection SQL a-t-elle été utilisée pour exploiter l'application de transfert de fichiers MOVEit de Progress Software ?

Le groupe de ransomware CL0P a pu exploiter la vulnérabilité d'injection SQL CVE-2023-34362, lui accordant un accès illimité et non autorisé à la base de données de MOVEit. À partir de là, ils ont pu installer LEMURLOOT, un shell Web qui leur permettrait à terme d'exécuter plusieurs processus critiques à haut risque, tels que la récupération des paramètres système, l'énumération de la base de données SQL, la récupération de fichiers depuis le système MOVEit Transfer et la création d'un nouveau compte avec des privilèges d'administration complets.

Il va sans dire que ce vecteur d'attaque est peut-être le résultat d'une erreur relativement simple, qui pourrait être attribuée à l'utilisation perpétuelle de modèles de codage médiocres, mais son potentiel de provoquer des problèmes permanents au niveau de l'entreprise est immense.

Comparable à l'exploit MOVEit, examinons cette fiche explicative SQLi, qui simule la méthode d'injection et d'exécution de code SQL malveillant :
‍

Cette chaîne de requête et cette variable :
‍

chaîne EmailAddress = »contact@scw.com« ;

var query = $"SÉLECTIONNEZ U.username from Users as u WHERE u.Email = '{EmailAddress}' » ;

donnera lieu à la requête suivante :
‍

var query = $"SÉLECTIONNEZ U.username From Users as u WHERE u.Email = 'contact@scw.com' » ;
‍

... et avec des entrées mal intentionnées :
‍

string EmailAddress = "contact@scw.com '; SUPPRIMER DES FACTURES OÙ Id = 2 ; -- » ;

var query = $"SÉLECTIONNEZ U.username from Users as u WHERE u.Email = '{EmailAddress}' » ;
‍

il deviendra :
‍

var query = $"SÉLECTIONNEZ U.username From Users as u WHERE u.Email = 'contact@scw.com' ; SUPPRIMER DES FACTURES OÙ Id = 2 ; --' » ;
‍

À quoi ça ressemble en vol ?

Notez qu'en raison de la concaténation de chaînes, l'entrée est interprétée comme une syntaxe SQL. Tout d'abord, un guillemet simple est ajouté pour s'assurer que la syntaxe SQL de l'instruction SELECT est valide. Ensuite, un point-virgule est ajouté afin de terminer la première instruction.

Une fois que cela est en place, une instruction DELETE valide est ajoutée, suivie de deux tirets pour commenter les caractères de fin (le guillemet simple). Une instruction UPDATE pourrait tout aussi bien être ajoutée, par exemple, si le code SQL malveillant devait mettre à jour les rôles ou les mots de passe des utilisateurs.
‍

Essayez-le vous-même dans cette mission jouable :
‍

>>> JOUEZ À LA MISSION MOVEit
‍

Bien que relativement simple, SQLi reste un puissant vecteur d'attaque, trop courant. Dans le cas de MOVEit, cet exploit a ouvert la voie à une installation de porte dérobée dommageable et à une série d'autres attaques de gravité similaire.

Comment pouvez-vous atténuer les risques liés à l'injection SQL ?

Pour toutes les entreprises utilisant MOVEit dans le cadre de leurs activités commerciales, il est impératif qu'elles suivent les conseils de remédiation recommandés par Logiciel Progress. Cela inclut, mais sans s'y limiter, l'application de correctifs de sécurité en tant que priorité de niveau d'urgence.

Pour l'injection SQL en général, consultez notre guide complet.

Vous souhaitez en savoir plus sur la façon d'écrire du code sécurisé et d'atténuer les risques ? Essayez notre Défi d'injection SQL gratuit.

Si vous souhaitez obtenir plus de directives de codage gratuites, consultez Coach de code sécurisé pour vous aider à rester au fait des meilleures pratiques en matière de codage sécurisé.