CVE-2023-0669· NVD / CVE Program· CNA rapid7

Fortra GoAnywhere MFT License Response Servlet Command Injection

Fortra (formerly, HelpSystems) GoAnywhere MFT suffers from a pre-authentication command injection vulnerability in the License Response Servlet due to deserializing an arbitrary attacker-controlled object. This issue was patched in version 7.1.2.

ВысокаяCVSS 7.2 · v3.1KEVГотовый эксплойт Есть исправление

Опубликовано: 6 февр. 2023 г.
Обновлено: 6 авг. 2026 г.
EPSS: 100,0 % · 100-й процентиль
CWE: CWE-502

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Срочно

Установите исправление сегодня или закройте доступ.

CVSS: 28 / 40 · 7.2 / 10
CISA KEV: 30 / 30 · В списке
EPSS: 30 / 30 · 100,0 %

Решение CISA SSVC

Эксплуатация: активная
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Активно эксплуатируется

CISA добавило это в каталог активно эксплуатируемых уязвимостей (KEV) 10 февр. 2023 г.. Это указывает на реальные атаки, а не теорию.

Срок устранения для госорганов: 3 мар. 2023 г..

Известно об использовании в кампаниях с программами-вымогателями.

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для сотен тысяч уязвимостей в базе; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Затронутые системы

Вендор	Продукт	CPE
fortra	goanywhere managed file transfer	cpe:2.3:a:fortra:goanywhere_managed_file_transfer

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

fortra goanywhere managed file transferдо 7.1.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (rapid7). Не зависят от анализа CPE в NVD и обычно опережают его.

Fortra Goanywhere MFT
- до 7.1.1 включительнозатронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
RubyGems	metasploit-framework	до 6.0.33 включительно	—

Тот же продукт

fortra: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2025-10035Deserialization Vulnerability in GoAnywhere MFT's License ServletKEV
99Срочно
CVE-2024-0204Authentication Bypass in GoAnywhere MFT
68На этой неделе
CVE-2025-14362GoAnywhere MFT SFTP Service Login Vulnerable to Brute Force Attack Under Certain Circumstances
29Наблюдать
CVE-2026-1089User‑Controlled HTTP Header In Fortra's GoAnywhere MFT Allows Arbitrary DNS Lookups
26Наблюдать
CVE-2024-25157Authentication bypass in GoAnywhere MFT prior to 7.6.0
26Наблюдать
CVE-2024-25156Path traversal in GoAnywhere MFT 7.4.1 and Earlier
26Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Fortra Goanywhere MFT	7.1.2 · description	Вендор (CNA)

Статус эксплойта

Готовый эксплойт

Известен готовый инструмент или активное использование в реальных атаках. Это должно быть высшим приоритетом.

Доказательство

Модуль Metasploit ×1
Запись Exploit-DB ×1
Шаблон обнаружения Nuclei ×1
Репозиторий PoC на GitHub ×5

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Запись Exploit-DB	webapps	2023-04-08
Модуль Metasploit	exploit/multi/http/fortra_goanywhere_rce_cve_2023_0669Fortra GoAnywhere MFT Unsafe Deserialization RCEexploit	2023-02-01
Шаблон обнаружения Nuclei	Шаблон Nuclei CVE-2023-0669	—
Репозиторий PoC на GitHub	stars:102	2023-02-10
Репозиторий PoC на GitHub	stars:0	2023-02-15
Репозиторий PoC на GitHub	stars:7	2023-02-26
Репозиторий PoC на GitHub	stars:8	2023-04-06
Репозиторий PoC на GitHub	stars:0	2025-12-24

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Metasploit1 февр. 2023 г.-6 дн.
Публикация6 февр. 2023 г.
Первый PoC10 февр. 2023 г.+3 дн.
CISA KEV10 февр. 2023 г.+3 дн.
Сегодня6 окт. 2026 г.+1338 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

rapid7/metasploit-frameworkPR 17607

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Brian KrebsKrebs on Securityдругое
Caitlin CondonRapid7аналитик
FrycoFrycos Securityнашёл
Ron BowesRapid7аналитик

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-23-0333 · 8 июн. 2023 г.(Cisco Güvenlik Bildirimi)
TR-23-0149 · 15 мар. 2023 г.(GoAnywhere MFT Zafiyet Bildirimi)
TR-23-0074 · 13 февр. 2023 г.(GoAnywhere MFT Zafiyet Bildirimi)

Все национальные уведомления →

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Требуются права администратора.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: высокое · данные или конфигурация могут быть изменены
Доступность: высокое · работа сервиса может быть нарушена

Вектор атаки: Сеть
Сложность атаки: Низкая
Требуемые привилегии: Высокие
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Высокое
Влияние на доступность: Высокое

Класс уязвимости (CWE)

CWE-502 · Deserialization of Untrusted Data

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

nvd-primary

Первопричина

Данные, полученные по сети, десериализуются в собственный объектный формат языка без проверки источника. Во время десериализации могут быть задействованы пути выполнения кода внутри объекта.

Ошибка в коде

Весь класс CWE-502

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

python

1payload = sock.recv(65536)2job = pickle.loads(payload)

Исправленный код

python

1payload = sock.recv(65536)2if not hmac.compare_digest(sign(payload), header_sig):3    raise PermissionError("недействительная подпись")4job = JobSchema.validate(json.loads(payload))