L’éditeur Progress émet une alerte pour ces deux failles dans WS_FTP Server
L'application WS_FTP Server de chez Progress est impactée par deux failles de sécurité critiques ! Cette fois-ci, les utilisateurs de la solution MOVEit Transfer sont épargnés.
Dans le catalogue de solutions de l'éditeur Progress, il y a la solution de partages de fichiers MOVEit Transfer lourdement impactée par plusieurs failles de sécurité durant l'été, ainsi que la solution WS_FTP Server qui est concernée par ces vulnérabilités. À en croire le site de Progress : "Des milliers d'équipes informatiques font confiance à WS_FTP pour ses fonctionnalités professionnelles uniques qui garantissent un transfert fiable et sécurisé des données critiques." - WS_FTP Server est un serveur FTP, compatible FTPS et SFTPS, associé à du chiffrement AES-256 bits.
Le bulletin de sécurité de Progress est clair : il s'agit de deux failles de sécurité critiques. Il y a une première faille située dans le module de transfert Ad Hoc de WS_FTP Server et une seconde faille dans l'interface de gestion de WS_FTP Server.
- CVE-2023-40044 avec un score CVSS de 10 sur 10
- CVE-2023-42657 avec un score CVSS de 9.9 sur 10
En exploitant la faille de sécurité CVE-2023-40044 située dans le module Ad Hoc, un attaquant préauthentifié peut exécuter des commandes à distance sur la machine où est installée l'application WS_FTP Server. Quant à la seconde vulnérabilité associée à la référence CVE-2023-42657, un attaquant pourrait l'exploiter pour effectuer des actions sur les fichiers et les dossiers (supprimer, renommer, rmdir, mkdir, etc.) du serveur, notamment en dehors de la racine de WS_FTP, ce qui expose les fichiers du système.
Quelles sont les versions affectées ? Comment se protéger ?
Toutes les versions de WS_FTP Server sont concernées par ces vulnérabilités !
L'éditeur Progress a mis en ligne les deux versions suivantes :
- WS_FTP Server 2020.0.4 (8.7.4)
- WS_FTP Server 2022.0.2 (8.8.2)
Vous devez installer l'une de ces deux versions pour vous protéger. En complément, Progress précise : "Nous recommandons la mise à jour vers la version la plus récente, à savoir la 8.8.2."
Au-delà de corriger ces deux vulnérabilités critiques, ces nouvelles mises à jour de sécurité patchent également 6 autres failles de sécurité.
Alors que les failles de sécurité dans MOVEit Transfer ont déjà fait plusieurs milliers de victimes, espérons qu'il y ait moins de dégâts avec ces failles de sécurité dans WS_FTP Server.
