Fortra opublikowała 9 września 2026 advisory FI-2026-011 dla GoAnywhere MFT. CVE-2026-15913 to path traversal w endpoincie /attachRemoteFiles (podatne < 7.10.2, fix 7.10.2). Do exploita nie wystarczy dowolne konto — Web User musi mieć jednocześnie uprawnienia Secure Folders i Secure Mail. To dobry przykład configuration- i permission-aware affectedness: PR:L nie oznacza „mały problem”, tylko że exploit zaczyna się po zalogowaniu.
/attachRemoteFiles → arbitrary file read poza home directory Web Usera.Co łamie podatność
Model bezpieczeństwa Web Usera zakłada, że jego operacje plikowe pozostają w sandboxowanym home directory. Path traversal w /attachRemoteFiles pozwala wyjść poza tę granicę i uzyskać arbitrary file read. Formalnie attacker jest uwierzytelniony i ma pewne uprawnienia — praktycznie przechodzi przez granicę, której jego rola nie powinna przekraczać.
Realny impact zależy od tego, jakie pliki proces może czytać — dlatego asset context jest ważniejszy niż samo C:H w wektorze CVSS.
Scanner package/version nie wystarczy
Klasyczny skaner odpowie: < 7.10.2 — vulnerable. VE potrzebuje jeszcze: czy Web Users są używani, które konta mają jednocześnie Secure Folders i Secure Mail, czy endpoint jest osiągalny z sieci tych kont. To pozwala podzielić flotę na: affected i reachable, affected bez wymaganej kombinacji uprawnień, fixed, oraz systemy bez tej funkcji/użytkowników. Brak takiego użytkownika dziś nie pozwala ignorować patcha (uprawnienia mogą zmienić się jutro) — to argument za precyzyjnym priorytetem i lepszą weryfikacją.
Remediation i weryfikacja
Vendor: upgrade do 7.10.2+. Jeśli patch nie może wejść od razu — odebranie niepotrzebnej kombinacji Secure Folders + Secure Mail i ograniczenie reachability interfejsu; stan oznacz jako mitigated, nie fixed. Po upgrade nie wystarcza wpis „7.10.2” z CMDB: potwierdź faktyczną wersję działającej instancji, że wszystkie nody klastra zaktualizowano (brak starszego węzła za load balancerem), przejrzyj role i permission combinations, sprawdź że path-traversal PoC / bezpieczny test regresyjny nie przechodzi. Compromise assessment zależy od ekspozycji i logów — przy dużej populacji Web Users przejrzyj wywołania /attachRemoteFiles, nietypowe sekwencje ścieżek i anomalie w dostępie do plików; patch nie odpowiada, czy ktoś wcześniej skorzystał z błędu.
Powiązane na blogu
- FreeIPA: „read” uruchamia trust refresh — nazwa uprawnienia vs efekt
- Akana: parser differential — granica ścieżki i normalizacja
Źródła
- Fortra FI-2026-011 — fortra.com
- GitHub Advisory Database GHSA-93h7-x9h6-vfvp — github.com
Nota redakcyjna: stan informacji 11 września 2026. CVE-2026-15913 (GoAnywhere MFT <7.10.2, CVSS 7.7): path traversal w /attachRemoteFiles wymaga Web Usera z Secure Folders + Secure Mail. Brak potwierdzenia active exploitation. Artykuł podkreśla permission-aware affectedness i predicate zamiast samego version match.