Organisaties die gebruikmaken van Progress ShareFile moeten een beveiligingsupdate voor een path traversal-lek installeren, anders kunnen ze geen gebruik van de oplossing maken. Dat heeft Progress in een e-mail aan klanten laten weten. ShareFile is een oplossing waarmee organisaties bestanden kunnen uitwisselen, enigszins vergelijkbaar met MOVEit Transfer, Accellion File Transfer Appliance, Fortra GoAnywhere en IBM Aspera Faspex. De software was oorspronkelijk van Citrix, maar werd twee jaar geleden overgenomen door softwarebedrijf Progress.
Een aantal dagen geleden besloot Progress wegens 'een aannemelijk externe veiligheidsdreiging' gericht tegen ShareFile Storage Zones Controllers om uit voorzorg de accounts van ShareFile-klanten uit te schakelen. De Zones Controller draait op een server en laat organisaties instellen waar bestanden worden opgeslagen, zoals een cloudomgeving of een eigen datacenter, en welke rechten gebruikers hebben. Via de Storage Zones Controller kan er dan ook toegang worden verkregen tot bestanden die organisaties uitwisselen.
Klanten werden ook door Progress opgeroepen om hun ShareFile-server uit te schakelen. Nu laat het softwarebedrijf in een e-mail aan klanten weten dat het onderzoek naar de genoemde dreiging een path traversal-kwetsbaarheid heeft opgeleverd. Via het beveiligingslek kan een geauthenticeerde aanvaller willekeurige bestanden uitlezen waar het service account van FileShare toegang toe heeft en content naar willekeurige directories schrijven. Een CVE-nummer voor de kwetsbaarheid zal over twee weken bekend worden gemaakt.
Progress zegt dat het geen aanwijzingen van ongeautoriseerde toegang tot de accounts of data van ShareFile-klanten heeft waargenomen. Ook is er volgens het bedrijf geen sprake van een actieve dreiging. Voor het path traversal-lek is een update verschenen. Alle klanten die van de ShareFile Storage Zones Controller gebruikmaken moeten deze update zo snel als mogelijk installeren, adviseert Progress. Pas na de installatie zal de Storage Zones Controller weer operationeel zijn.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Senior IAM specialist
Utrecht heeft jou nodig! Wil jij een sleutelrol spelen in de digitale dienstverlening van de gemeente Utrecht? Als Specialist Identity and Access Management (IAM) zorg je voor gecontroleerd toegangsbeheer van applicaties én werk je actief aan verbeteringen voor een optimale gegevensbescherming van onze inwoners en bedrijven. Solliciteer nu!
