Descripción
Fortra GoAnywhere MFT contiene una vulnerabilidad de deserialización de datos no confiables que permite a un actor con una firma de respuesta de licencia falsificada de forma válida deserializar un objeto arbitrario controlado por el actor, lo que posiblemente derive en una inyección de comandos.
Acción recomendada
Aplicar las mitigaciones del fabricante y, en servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.
Referencia de CISA para agencias federales de EE. UU.: BOD 22-01.
Referencias
- Aviso de fortra.com fortra.com/security/advisories/product-security/fi-2025-012
- Ficha en NVD (NIST) nvd.nist.gov/vuln/detail/CVE-2025-10035
Ver el texto original en inglés (CISA)
Fortra GoAnywhere MFT Deserialization of Untrusted Data Vulnerability
Fortra GoAnywhere MFT contains a deserialization of untrusted data vulnerability allows an actor with a validly forged license response signature to deserialize an arbitrary actor-controlled object, possibly leading to command injection.
Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Notes: https://www.fortra.com/security/advisories/product-security/fi-2025-012 ; https://nvd.nist.gov/vuln/detail/CVE-2025-10035
Otras vulnerabilidades de Fortra en el catálogo
- CVE-2022-42948 Fortra Cobalt Strike User Interface Remote Code Execution Vulnerability Alta 30-03-2023
- CVE-2022-39197 Fortra Cobalt Strike Teamserver Cross-Site Scripting (XSS) Vulnerability Alta 30-03-2023
- CVE-2023-0669 Fortra GoAnywhere MFT Remote Code Execution Vulnerability Alta 10-02-2023