MOVEit Transfer OIDC capture-replay atlanması CVE-2026-89070, 2025.1.6 ve 2026.0.4 sürümlerinde giderildi

Zafiyet

Progress MOVEit Transfer, OpenID Connect modülündeki CVE-2026-89070 olarak takip edilen bir capture-replay kimlik doğrulama atlanması zafiyetini yamıyor. Bir dev.to yazısına göre kusur CWE-294 kapsamında sınıflandırılmış ve CVSS v3 temel puanı 7.5. Etkilenen sürümler 2025.1.6'dan önceki her şeyden 2026.0.3'e kadar uzanıyor; düzeltilmiş sürümler ise 2025.1.6 ve 2026.0.4.

Aynı yazı, bir SecurityOnline raporuna atıf yaparak, bu OIDC hatasının Progress'in aynı topluluk içinde yamadığı on iki yüksek önem dereceli MOVEit Transfer zafiyetinden biri olduğunu belirtiyor.

Platform logları bunu neden göremiyor

Yazının savunusuna göre temel sorun yapısal; çaba eksikliği değil. Ele geçirilmiş kimlik doğrulama materyalini yeniden oynatan bir saldırgan, sunucunun görmeyi beklediği şeyi tam olarak sunar; dolayısıyla uygulamanın bakış açısından oturum açma meşrudur. Platform logu, bir kullanıcının belirli bir zamanda belirli bir adresten OIDC üzerinden kimlik doğruladığını, ardından o kullanıcının ne yaptığını kaydeder. Her kayıt doğrudur ve hiçbiri bir replay'i gerçek bir oturumdan ayırt etmez.

Platform tarafında mevcut olan tek sinyaller davranışsaldır ve her biri belirsizdir: tanıdık olmayan bir kaynak adresten gelen oturum, hesabın geçmişinden sapan bir indirme kalıbı, normal çalışma saatleri dışında bir transfer ya da tek bir kimlik altında iki eşzamanlı oturum. Bunların hiçbiri bir şey kanıtlamaz ve hepsinin masum açıklamaları vardır.

Kanıt kimlik sağlayıcısında

Kimlik sağlayıcısı, platformun kabul ettiği assertion'ı yayımlayan taraftır. dev.to yazısının açıkladığı gibi, doğru yapılandırıldığında yayımlamayı kaydeder: ilgili subject, gerçekleştiği zaman, hangi uygulama için yayımlandığı ve bir assertion ya da token tanımlayıcısı.

Bu, replay tespitini bir karşılaştırma problemine dönüştürür. Bir kez kullanılan bir tanımlayıcı tam olarak tek bir oturuma karşılık gelmelidir. İki kez görünen bir tanımlayıcı — iki oturum üreten ya da kullanıcının hiç başlatmadığı bir oturum ortaya çıkaran — bir replay'e işaret eder. Sorun şu ki birçok dağıtım, kimlik doğrulama olayını tanımlayıcıyı saklamadan logluyor; bu da karşılaştırmayı sonradan yapılabilir olmaktan çıkarıyor.

Sıkılaştırma adımları

Yazı dört önlem öneriyor:

• Kimlik sağlayıcısında MOVEit Transfer uygulaması için tanımlayıcı düzeyinde loglamayı etkinleştirin. -- Log saklama süresinin,salt gereklilik alt sınırı değil gerçekçi bir inceleme penceresini kapsadığını doğrulayın.
• Bu relying party için assertion ömrünü kısaltın. On beş dakika geçerli bir ele geçirilmiş assertion, saatlerce geçerli olandan saldırgan için çok daha az işe yarar; kısa pencereler, eski bir ele geçirmenin basitçe başarısız olma ihtimalini artırır.
• Platform ile sağlayıcı arasındaki saat senkronizasyonunu doğrulayın. Tazelik kontrolleri zaman damgalarına bağlıysa, sapma ya hatalı reddetmeler üretir ya da kabul penceresini amaçlananın ötesine genişletir.

Bir inceleme sırasında ne sorgulanmalı

Yamalamadan önce bir replay gerçekleşip gerçekleşmediğini belirlemeye çalışan ekipler için yazı bir sıra ortaya koyuyor: maruz kalma penceresi boyunca MOVEit Transfer uygulaması için sağlayıcının yayımlama kayıtlarını çekin; subject'e göre gruplayın ve tekrarlanan tanımlayıcıları arayın; yayımlama zaman damgalarını aynı kullanıcılar için platformun kimlik doğrulama olaylarıyla karşılaştırın; ardından bu oturumların transfer etkinliğini çekin ve her kullanıcının gerçek işleviyle karşılaştırın.

Maruz kalma bağlamı

Yazıya göre, yazıldığı sırada ürün parmak izi app="MOVEit" için yapılan bir ZoomEye sorgusu 1.676 varlıkla eşleşti. Yazar bu rakama dikkatli yaklaşıyor: Finger print sunan sistemleri sayıyor ve hangilerinin zafiyetli olduğu ya da kimlik sağlayıcılarının nasıl yapılandırıldığı konusunda bir şey söylemiyor.

Neden önemli

Yama boşluğu kapatıyor ama güvenlik ekiplerinin ardından karşılaşacağı soruyu yanıtlamıyor: Açıkken kimse bunu istismar etti mi? Çoğu dağıtım için platformun kendi logları bunu yanıtlayamaz. Bir kuruluşun şüpheli bir replay'i inceleyebilmesi bile tamamen kimlik sağlayıcısının assertion tanımlayıcılarını saklayıp saklamadığına bağlı — bunları çöpe atan varsayılan ayarlarda bırakan kuruluş çok. MOVEit Transfer çalıştıran ekipler yükseltmeyi ve kimlik sağlayıcısı loglama incelemesini tek bir iş kalemi olarak ele almalı; çünkü bir olaydan sonra kanıtın hiç toplanmadığını keşfetmek, en kötü olası zamanlamadır.