CVE-2025-10035

Esta é uma falha de desserialização no License Servlet do GoAnywhere MFT da Fortra. O servlet desserializa um objeto de resposta de licença e, se um atacante conseguir apresentar uma assinatura de licença que o servidor aceite como válida, ele desserializará um objeto arbitrário controlado pelo atacante. Essa reconstrução dispara uma cadeia de gadgets que leva à injeção de comando no host. A condição limitante é forjar uma assinatura válida, mas onde isso for possível, o resultado é execução de código não autenticada no servidor de transferência de arquivos.

O GoAnywhere MFT é um produto de transferência gerenciada de arquivos, a mesma categoria de alto valor por trás das campanhas MOVEit e GoAnywhere anteriores do grupo Clop, então os dados que ele guarda são exatamente o material regulado e sensível que as organizações movimentam entre parceiros, e esses servidores são comumente voltados para a internet. O próprio zero-day anterior do GoAnywhere da Fortra foi explorado em massa pelo Clop para extorsão, o que define a expectativa de quão rápido essa classe atrai a transformação em arma assim que os detalhes circulam. Aplique o patch para a versão corrigida do GoAnywhere imediatamente e, como defesa em profundidade, garanta que o console administrativo e o license servlet não estejam expostos à internet. Dado o histórico, faça caça a sinais de execução de comandos e saída de dados anômala, em vez de confiar apenas no patch.