5/5 - (5 votes)

Faille de contournement dans GoAnywhere MFT.

Fortra met en garde contre un nouveau contournement critique de l’authentification GoAnywhere MFT. Fortra met en garde contre une nouvelle vulnérabilité de contournement d’authentification affectant les versions GoAnywhere MFT (Managed File Transfer) antérieures à 7.4.1 et permettant à un attaquant de créer un nouvel utilisateur administrateur. GoAnywhere MFT est utilisé par des organisations du monde entier pour sécuriser le transfert de fichiers avec leurs clients et partenaires commerciaux. Il prend en charge des protocoles de cryptage sécurisés, l’automatisation, le contrôle centralisé et divers outils de journalisation et de reporting qui facilitent la conformité légale et l’audit.

GoAnywhere MFT est une plate-forme logicielle qui supprime les tracas liés au déplacement de données entre différents systèmes et personnes. Il s’agit d’une solution puissante et polyvalente pour les organisations qui ont besoin de sécuriser et de gérer efficacement leurs transferts de fichiers. Un récent développeur de cette solution de transfert de fichiers dévoile une faille critique qui menace de contourner l’essence même de l’authentification.

CVE-2024-0204, Le contournement de l’authentification dans GoAnywhere MFT de Fortra antérieur à 7.4.1 permet à un utilisateur non autorisé de créer un utilisateur administrateur via le portail d’administration. La vulnerabilité a été publié en 22/01/2024 par Mohammed Eldeeb et Islam Elrfai (confirmé). Les détails techniques sont inconnus et un exploit n’est pas disponible. La mise à jour de Fortra avec la version 7.4.1 élimine cette vulnérabilité.


Une élévation des privilèges est, en informatique, un mécanisme permettant à un utilisateur d'obtenir des privilèges supérieurs à ceux qu'il a normalement. Généralement, un utilisateur va vouloir élever ses privilèges pour devenir administrateur du système, afin d'effectuer des tâches qu'il n'a pas le droit de faire en temps normal. Ce mécanisme est utile pour lancer des processus sensibles, pouvant nécessiter des compétences particulières en administration système : par exemple lors d'une manipulation des partitions d'un disque dur, ou lors du lancement d'un nouveau service. L'administrateur peut reconfigurer le système d'exploitation. Il peut gérer les autorisations d'accès au réseau. Il surveille le système, gère la sécurité et automatise certaines tâches. Toutes ces fonctions présentent un risque pour les systèmes infectés et une atteinte à la politique de sécurité.


Une politique de sécurité informatique est un plan d'actions définies pour maintenir un certain niveau de sécurité. Elle reflète la vision stratégique de la direction de l'organisme (PME, PMI, industrie, administration, État, unions d'États…) en matière de sécurité informatique. Elle est liée à la sécurité de l'information. Elle définit les objectifs de sécurité des systèmes informatiques d'une organisation. Une politique de sécurité informatique est une stratégie visant à maximiser la sécurité informatique d’une entreprise. Elle est matérialisée dans un document qui reprend l’ensemble des enjeux, objectifs, analyses, actions et procédures faisant parti de cette stratégie. La stratégie qui vise à maximiser la sécurité informatique d’une entreprise se matérialise par un document qui regroupe les objectifs, les enjeux et les actions qu'elle doit mettre en œuvre. En complément de la politique de sécurité informatique, les entreprises se dotent d'une charte informatique qui établie des recommandations spécifiques au niveau des technologies informatiques. Certaines cyberattaques réussissent en contournant ou diminuant les politiques de sécurité. Le CERT et le CISA préconisent le comblement immédiat des correctifs des failles critiques et plus particulièrement ceux qui concernent les vulnérabilités de catégorie Zero Day.


L'authentification pour un système informatique est un processus permettant au système de s'assurer de la légitimité de la demande d'accès faite par une entité (être humain ou un autre système...) afin d'autoriser l'accès de cette entité à des ressources du système (systèmes, réseaux, applications…) conformément au paramétrage du contrôle d'accès.


Bleeping Computer est un site Web couvrant l'actualité technologique et offrant une aide informatique gratuite via ses forums, qui a été créé par Lawrence Abrams en 2004. Avec plus de 700 000 membres enregistrés qui posent des questions et y répondent, BleepingComputer.com est devenu une communauté dynamique et animée de personnes partageant les mêmes idées.

A propos de l'auteur

Retour en haut