Zusammenfassung

BeyondTrust hat mit dem Security Advisory BT26-05 die kritische Schwachstelle CVE-2026-102764 in Remote Support (RS) bestätigt. Die Schwachstelle erlaubt es einem nicht authentifizierten, entfernten Angreifer, Dateioperationen auf der Appliance durchzuführen. Sie wird mit CVSS 9.3 (Critical) bewertet und wurde seit dem 29. August 2026 als Zero-Day durch den Spionage-Akteur ARMORY CASTLE aktiv ausgenutzt. SaaS-Instanzen wurden am 8./9. Oktober 2026 automatisch gepatcht, selbst betriebene Appliances müssen manuell auf den Patch BT26-05-RS aktualisiert werden.

Technische Details

• CVE-ID: CVE-2026-102764
• CVSS Score: 9.3 / Critical (CVSS 4.0, Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N)
• CWE: CWE-290 – Authentication Bypass by Spoofing
• Ursache: Unzureichende Validierung der Herkunft von Nachrichten in internen Komponenten von BeyondTrust Remote Support (Improper Origin Validation in Internal Messaging Components).
• Auswirkung: Unter den richtigen Bedingungen kann ein Angreifer Dateioperationen auf der Appliance ausführen, Root-Rechte erlangen, Web-Shells (Sawfly) und Tunneler (BARECLAW) installieren, Logs löschen und sich lateral im Netzwerk bewegen.
• Ausnutzung: Remote, ohne Privilegien und ohne Benutzerinteraktion. Als ARMORY CASTLE (ehem. UNC5221 / Warp Panda, China-Nexus) verfolgter Akteur nutzte die Lücke gezielt gegen interneterreichbare Appliances aus.

Betroffene Systeme

• BeyondTrust Remote Support – alle Versionen von 0 bis einschließlich 26.2.3, insbesondere selbst betriebene Appliances der Versionen 24.3.1 bis 26.2.3
• BeyondTrust Privileged Remote Access (PRA) teilt den betroffenen Code – kein Exploit bestätigt, Patch aus Vorsicht ebenfalls veröffentlicht
• BeyondTrust SaaS-Instanzen von Remote Support und Privileged Remote Access waren verwundbar, wurden aber automatisch gepatcht

Empfehlungen und Maßnahmen

1. Sofort patchen: Selbst betriebene Remote Support-Systeme der Versionen 24.3.1 bis 26.2.3 manuell auf BT26-05-RS-Patch aktualisieren. Systeme älter als 24.3.1 müssen erst auf eine neuere Version upgraden, um den Fix einzuspielen.
2. PRA ebenfalls patchen: Selbst betriebene Privileged Remote Access-Systeme vorsorglich auf BT26-05-PRA aktualisieren, automatische Updates für kritische Patches aktivieren.
3. Kompromittierung prüfen: Jede interneterreichbare Appliance, die im Zeitraum August bis Oktober 2026 verwundbar war, bis zur forensischen Prüfung als potenziell kompromittiert behandeln. Logs, haproxy.conf, SUID-Rechte, Admin-Konten und Jump Items prüfen.
4. Härtung: Appliances nicht direkt aus dem Internet erreichbar machen, Zugriff auf interne Komponenten einschränken, Nachrichtenquellen validieren und Monitoring verstärken.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-102764
• https://www.beyondtrust.com/blog/entry/bt26-05
• https://beyondtrustcorp.service-now.com/csm?id=csm_kb_article&sysparm_article=KB0024066

Zusammenfassung

In der Java-Template-Engine Thymeleaf wurde die kritische Schwachstelle CVE-2026-41901 (CVSS 9.0) entdeckt. Durch eine unzureichende Neutralisierung gefährlicher Ausdrücke in Sandbox-Kontexten kann es zu Server-Side Template Injection (SSTI) kommen, wenn unsanierte Variablen an Templates übergeben werden. Die Schwachstelle ist in Version 3.1.5.RELEASE behoben.

Technische Details

Thymeleaf stellt Mechanismen bereit, um die Ausführung potenziell gefährlicher Ausdrücke in eingeschränkten (sandboxed) Kontexten zu verhindern. Vor Version 3.1.5.RELEASE konnten jedoch spezifische Konstrukte diese Schutzmechanismen umgehen und dennoch ausgeführt werden. Wenn ein Anwendungsentwickler unsanierte, vom Angreifer kontrollierbare Variablen an die Template-Engine übergibt und diese in solchen Sandbox-Kontexten verwendet werden, führt dies zu einer Remote-Code-Ausführung via SSTI. Betroffen ist die Ausdrucksverarbeitung der Template-Engine in Web- und Standalone-Umgebungen.

Betroffene Systeme

• Thymeleaf < 3.1.5.RELEASE
• Alle Java-Webanwendungen, die betroffene Thymeleaf-Versionen einsetzen und externe Eingaben in Templates verarbeiten

Empfehlungen und Maßnahmen

• Umgehend auf Thymeleaf Version 3.1.5.RELEASE oder neuer aktualisieren.
• Eingaben, die an Templates übergeben werden, konsequent validieren und sanieren, keine ungeprüften Nutzereingaben in Templates verwenden.
• Sandbox-Kontexte in Templates überprüfen und nach Möglichkeit restriktive Ausdrucks-Auswertung erzwingen.
• Anwendungen auf Anzeichen einer SSTI-Ausnutzung (ungewöhnliche Logs, Prozesse, Netzwerkverbindungen) prüfen.

Quellen

• https://github.com/thymeleaf/thymeleaf/security/advisories/GHSA-c9ph-gxww-7744

Zusammenfassung

In der Java-Template-Engine Thymeleaf wurde eine kritische Sicherheitslücke mit der Kennung CVE-2026-40478 entdeckt (CVSS 9.1). Die Schwachstelle in Versionen bis einschließlich 3.1.3.RELEASE ermöglicht es einem nicht authentifizierten Angreifer aus der Ferne, die Schutzmechanismen gegen Expression Injection zu umgehen und Server-Side Template Injection (SSTI) zu erreichen. Voraussetzung ist, dass eine Anwendung ungeprüfte Benutzereingaben direkt an die Template-Engine übergibt. Der Fehler wurde in Version 3.1.4.RELEASE behoben.

Technische Details

Thymeleaf stellt Mechanismen zur Verhinderung von Expression Injection bereit. In betroffenen Versionen werden jedoch bestimmte Syntaxmuster nicht korrekt neutralisiert, sodass die Ausführung nicht autorisierter Ausdrücke möglich ist. Ein Angreifer kann speziell präparierte Eingaben übermitteln, die von der Anwendung ohne ausreichende Validierung an Thymeleaf weitergereicht werden. Dies führt zur serverseitigen Ausführung bösartiger Template-Ausdrücke. Die Schwachstelle ist ohne Authentifizierung remote ausnutzbar und wird daher mit CVSS 9.1 als kritisch eingestuft.

Betroffene Systeme

• org.thymeleaf:thymeleaf-spring5 in Versionen vor 3.1.4.RELEASE
• thymeleaf:thymeleaf in Versionen vor 3.1.4.RELEASE
• org.thymeleaf:thymeleaf-spring6 in Versionen vor 3.1.4.RELEASE
• Alle Java-Webanwendungen, die Thymeleaf 3.1.3.RELEASE oder älter einsetzen und Benutzereingaben direkt in Templates verarbeiten

Empfehlungen und Maßnahmen

• Umgehend auf Thymeleaf Version 3.1.4.RELEASE oder neuer aktualisieren (gilt für thymeleaf, thymeleaf-spring5 und thymeleaf-spring6).
• Keine ungeprüften Benutzereingaben direkt an die Template-Engine übergeben; strikte Eingabevalidierung und Allowlisting einsetzen.
• Anwendungen prüfen, ob Benutzereingaben in Template-Ausdrücke, Template-Namen oder Inline-Ausdrücke einfließen.
• Web Application Firewall (WAF) mit SSTI-Regeln als zusätzliche Schutzschicht erwägen, jedoch nicht als Ersatz für das Update.
• Logs auf verdächtige Template-Syntax und ungewöhnliche Ausdrucksaufrufe prüfen.

Quellen

• https://github.com/thymeleaf/thymeleaf/security/advisories/GHSA-xjw8-8c5c-9r79

Zusammenfassung

In der Java-Template-Engine Thymeleaf wurde eine kritische Sicherheitslücke mit der Kennung CVE-2026-40477 entdeckt (CVSS-Score 9.1). Die Schwachstelle in allen Versionen bis einschließlich 3.1.3.RELEASE ermöglicht einem nicht authentifizierten Remote-Angreifer eine Server-Side Template Injection (SSTI), sofern ungeprüfte Benutzereingaben direkt an die Template-Engine übergeben werden. Der Hersteller hat das Problem in Version 3.1.4.RELEASE behoben, ein sofortiges Update wird dringend empfohlen.

Technische Details

Thymeleaf ist eine serverseitige Java-Template-Engine für Web- und Standalone-Umgebungen. Trotz vorhandener Schutzmechanismen gegen Expression Injection schränkt die Bibliothek in betroffenen Versionen den Umfang zugreifbarer Objekte nicht ausreichend ein.

Dadurch können aus einem Template heraus gezielt potenziell sensible Objekte erreicht werden. Werden von Anwendungsentwicklern unvalidierte Benutzereingaben direkt an die Template-Engine übergeben, kann ein Angreifer ohne Authentifizierung die Schutzmechanismen umgehen und beliebige Ausdrücke im Serverkontext ausführen (SSTI). Dies kann zur Ausführung von Code, zum Zugriff auf sensible Daten und zur Kompromittierung des Servers führen.

Betroffene Versionen: alle Versionen <= 3.1.3.RELEASE. Behobene Version: 3.1.4.RELEASE.

Betroffene Systeme

• thymeleaf thymeleaf < 3.1.4.RELEASE
• org.thymeleaf:thymeleaf-spring5 < 3.1.4.RELEASE
• org.thymeleaf:thymeleaf-spring6 < 3.1.4.RELEASE

Betroffen sind Java-Anwendungen, die Thymeleaf in den genannten Versionen einsetzen und Benutzereingaben direkt oder indirekt in Templates verarbeiten.

Empfehlungen und Maßnahmen

• Update auf Thymeleaf Version 3.1.4.RELEASE oder neuer für alle betroffenen Pakete (thymeleaf, thymeleaf-spring5, thymeleaf-spring6).
• Abhängigkeiten prüfen, z. B. via Maven oder Gradle, und transitive Abhängigkeiten ebenfalls aktualisieren.
• Keine unvalidierten Benutzereingaben direkt an die Template-Engine übergeben, Eingaben grundsätzlich validieren und escapen.
• Anwendungen auf Anzeichen einer Ausnutzung prüfen (ungewöhnliche Template-Fehler, Log-Einträge, unerwartete Prozesse).
• Nach dem Update Funktionstests durchführen und Build neu deployen.

Quellen

• https://github.com/thymeleaf/thymeleaf/security/advisories/GHSA-r4v4-5mwr-2fwr

Zusammenfassung

In mehreren Atlassian Data Center-Produkten wurde die kritische Schwachstelle CVE-2026-21589 mit einem CVSS-Score von 9.3 entdeckt. Die Arbitrary-File-Access-Schwachstelle ermöglicht es einem unauthentifizierten Remote-Angreifer, auf bestimmte Dateien innerhalb des Web-Application-Root-Verzeichnisses zuzugreifen. Je nach Konfiguration können dabei hochsensible Dateien offengelegt werden. Atlassian hat für alle betroffenen Produkte Sicherheitsupdates bereitgestellt.

Technische Details

CVE-ID: CVE-2026-21589 CVSS-Score: 9.3 (Critical) Hersteller: Atlassian Schwachstellen-Typ: Arbitrary File Access Angriffsvektor: Remote, unauthentifiziert

Ein unauthentifizierter Angreifer kann gezielt auf Dateien innerhalb des Web-Verzeichnisses der Anwendung zugreifen. Voraussetzung ist die vorherige Kenntnis des exakten Dateinamens und Pfades, ein Aufzählen oder Auflisten von Verzeichnisinhalten ist mit dieser Schwachstelle nicht möglich. In bestimmten Konfigurationen können sensible Dateien betroffen sein, weshalb die Schwachstelle als hochkritisch eingestuft wird.

Betroffene Produktlinien und Fix-Versionen:

• Bitbucket Data Center (ab 4.6.0): Fix in 9.4.26, 10.2.8, 10.5.1
• Confluence Data Center (ab 5.10.0): Fix in 9.2.26, 10.2.19
• Crowd Data Center (ab 2.11.0): Fix in 6.3.7, 7.0.3, 7.1.7, 7.2.4
• Jira Software Data Center (ab 7.1.0): Fix in 9.12.40, 10.3.26, 11.3.12
• Jira Service Management Data Center (ab 3.1.0): Fix in 5.12.40, 10.3.26, 11.3.12
• Bamboo Data Center (ab 7.0.1): Fix in 10.2.24, 12.1.12
• Crucible: Fix in 4.9.15
• Fisheye: Fix in 4.9.15

Betroffene Systeme

• Atlassian Bitbucket Data Center
• Atlassian Confluence Data Center
• Atlassian Crowd Data Center
• Atlassian Jira Software Data Center
• Atlassian Jira Service Management Data Center
• Atlassian Bamboo Data Center
• Atlassian Crucible
• Atlassian Fisheye

Alle anderen Versionen unterhalb der genannten Fix-Versionen gelten als verwundbar.

Empfehlungen und Maßnahmen

1. Sofortiges Update: Aktualisieren Sie alle betroffenen Atlassian-Produkte unverzüglich auf die von Atlassian genannten Fix-Versionen oder neuer.
2. Bestandsaufnahme: Prüfen Sie alle Bitbucket-, Confluence-, Jira-, Bamboo-, Crowd-, Crucible- und Fisheye-Instanzen auf verwundbare Versionen.
3. Zugriff beschränken: Schränken Sie bis zum Patch den externen Zugriff auf die Systeme ein, insbesondere aus dem Internet.
4. Sensible Dateien prüfen: Überprüfen Sie, ob sensible Dateien im Web-Verzeichnis liegen, und entfernen oder schützen Sie diese.
5. Logs kontrollieren: Suchen Sie in Web- und Access-Logs nach verdächtigen unauthentifizierten Zugriffen auf sensible Pfade.
6. Atlassian-Hinweise beachten: Folgen Sie den offiziellen Sicherheitshinweisen in den verlinkten Atlassian-Tickets.

Quellen

• https://jira.atlassian.com/browse/BAM-26567
• https://jira.atlassian.com/browse/BSERV-20604
• https://jira.atlassian.com/browse/CONFSERVER-104488
• https://jira.atlassian.com/browse/CRUC-8741
• https://jira.atlassian.com/browse/CWD-6610
• https://jira.atlassian.com/browse/FE-7583
• https://jira.atlassian.com/browse/JRASERVER-79546
• https://jira.atlassian.com/browse/JSDSERVER-16809

Zusammenfassung

In AhsayCBS bis einschließlich Version 10.3.2 wurde eine kritische Schwachstelle mit der Kennung CVE-2026-105134 entdeckt. Die Lücke in der Komponente Replication Receiver ermöglicht eine OS-Command-Injection über das Internet und wird mit dem maximalen CVSS-Score von 10.0 bewertet. Da ein öffentlicher Exploit bereits verfügbar ist, besteht akute Ausnutzungsgefahr. Ein Update auf Version 10.3.4 behebt das Problem.

Technische Details

• CVE-ID: CVE-2026-105134
• CVSS-Score: 10.0 (Critical)
• Schwachstellenklasse: OS Command Injection (CWE-78)
• Betroffene Komponente: Replication Receiver von AhsayCBS
• Betroffene Datei: /rps/api/json/UpdateReceivers.do
• Betroffener Parameter: random
• Angriffsvektor: Remote, ohne physischen Zugriff möglich
• Auswirkung: Manipulation des Arguments random führt zur Ausführung beliebiger Betriebssystembefehle auf dem Server
• Exploit-Status: Exploit wurde veröffentlicht und kann aktiv ausgenutzt werden
• Hersteller: Ahsay
• Fix-Version: 10.3.4

Die Schwachstelle betrifft unbekannten Code in der Datei UpdateReceivers.do. Durch gezielte Manipulation des Parameters random kann ein Angreifer injizierte Systembefehle mit den Rechten der Anwendung ausführen und so das betroffene System vollständig kompromittieren.

Betroffene Systeme

• Ahsay AhsayCBS 10.3.0
• Ahsay AhsayCBS 10.3.1
• Ahsay AhsayCBS 10.3.2

Alle Versionen bis einschließlich 10.3.2 sind verwundbar. Version 10.3.4 enthält die Sicherheitskorrektur.

Empfehlungen und Maßnahmen

1. Update sofort einspielen: Aktualisieren Sie AhsayCBS umgehend auf Version 10.3.4 oder neuer.
2. Erreichbarkeit einschränken: Beschränken Sie den Zugriff auf /rps/api/json/UpdateReceivers.do und die gesamte RPS-Schnittstelle per Firewall, VPN oder IP-Allowlist, bis das Update installiert ist.
3. Kompromittierung prüfen: Untersuchen Sie Server-Logs auf verdächtige Zugriffe auf UpdateReceivers.do und auf ungewöhnliche Prozessausführungen oder neue Konten.
4. Übergangslösung: Falls kein sofortiges Update möglich ist, nehmen Sie betroffene Systeme wenn möglich temporär vom Netz oder deaktivieren Sie die Replication-Receiver-Funktion.
5. Härtung: Führen Sie AhsayCBS mit minimalen Rechten aus und überwachen Sie das System weiterhin auf Indicators of Compromise.

Quellen

• https://vuldb.com/vuln/413351
• https://vuldb.com/vuln/413351/cti
• https://vuldb.com/cve/CVE-2026-105134
• https://vuldb.com/submit/942743
• https://www.ahsay.com/en/support/help-centre/release-notes/cbs/v10.3.4

Zusammenfassung

Eine kritische Schwachstelle mit der Kennung CVE-2026-76519 betrifft die Advanced Malware Protection (AMP)-Funktion von Cisco Secure Email Gateway. Ein nicht authentifizierter, entfernter Angreifer kann durch eine E-Mail mit präpariertem Anhang beliebige Dateien auf das zugrunde liegende Betriebssystem schreiben und Befehle mit Root-Rechten ausführen. Voraussetzung ist, dass der File-Reputation-Dienst aktiviert und einer Mail-Policy zugewiesen ist und die Content Scanner Tools älter als Version 25.3.0.5525 sind. Cisco hat Software-Updates veröffentlicht, es gibt keine Workarounds. Für Oktober 2026 ist aktive Ausnutzung bestätigt.

Technische Details

CVE-ID: CVE-2026-76519 CVSS Score: 9.8 (Critical) CWE: CWE-23 (Relative Path Traversal) Angriffsvektor: Remote, unauthentifiziert, per E-Mail mit präpariertem Anhang Ursache: Unsachgemäße Behandlung von E-Mail-Anhängen bei aktiviertem File-Reputation-Dienst (Teil von Cisco AMP) Auswirkung: Schreiben beliebiger Dateien auf das Betriebssystem, Befehlsausführung mit Root-Rechten, vollständige Kompromittierung der Appliance, potenziell auch anderer Cluster-Mitglieder über abgegriffene SSH-Schlüssel Voraussetzungen: Cisco Secure Email Gateway (physisch und virtuell) mit verwundbarem Cisco AsyncOS-Release, File Reputation aktiviert und Content Scanner Tools älter als 25.3.0.5525 Exploitation: Aktive Ausnutzung seit Oktober 2026 bekannt. Angreifer mit Root-Zugriff können Spuren und Kompromittierungsindikatoren löschen oder verbergen.

Betroffene Systeme

Betroffen ist Cisco Secure Email Gateway mit aktiviertem File-Reputation-Dienst und Content Scanner Tools vor 25.3.0.5525, unter anderem:

• Cisco Secure Email 16.0.2-112
• Cisco Secure Email 15.5.0-048
• Cisco Secure Email 13.5.1-277
• Cisco Secure Email 14.2.0-620
• Cisco Secure Email 15.5.1-055
• Cisco Secure Email 15.5.4-012
• Cisco Secure Email 15.0.1-030
• Cisco Secure Email 13.0.0-392
• Cisco Secure Email 15.0.3-002
• Cisco Secure Email 14.2.1-020
• Cisco Secure Email 15.5.3-022
• Cisco Secure Email 16.0.0-050
• Cisco Secure Email 13.0.5-007
• Cisco Secure Email 15.0.0-104
• Cisco Secure Email 14.0.0-698
• Cisco Secure Email 14.3.0-032
• Cisco Secure Email 13.5.4-038
• Cisco Secure Email 15.5.2-018
• Cisco Secure Email 16.0.0-054
• Cisco Secure Email 16.0.3-044
• Cisco Secure Email 15.0.5-016
• Cisco Secure Email 16.0.4-016
• Cisco Secure Email 16.0.1-017

Nicht betroffen laut Cisco: Secure Email and Web Manager, Secure Web Appliance. Cisco Secure Email Cloud wurde von Cisco bereits geschützt und mit fixer Content Scanner Tools-Version versorgt.

Empfehlungen und Maßnahmen

Es gibt keine Workarounds. Cisco empfiehlt dringend ein Upgrade auf eine behobene Version:

• Cisco AsyncOS für Secure Email Gateway 15.5: Upgrade auf 15.5.5-014
• Cisco AsyncOS für Secure Email Gateway 16.0: Migration auf einen behobenen Release
• Cisco AsyncOS für Secure Email Gateway 16.5: Upgrade auf 16.5.0-780, für Releases älter als 16.5 wird Migration auf 16.5.0-780 empfohlen
• Content Scanner Tools auf Version 25.3.0.5525 oder neuer aktualisieren (manuell per Befehl contentscannerupdate oder automatische Updates unter Security Services > Service Updates aktivieren, kein Neustart erforderlich)
• File-Reputation-Status prüfen unter Mail Policies > Incoming/Outgoing Mail Policies > Advanced Malware Protection (Enable File Reputation) und Tool-Version per contentscannerstatus prüfen
• Kompromittierung prüfen: grep "System Security" system_logs auf jedem Cluster-Knoten sowie externe Netzwerk- und Firewall-Logs auf unerwartete Uploads/Downloads prüfen. Bei Meldung Suspected compromise indicator was found sofort TAC kontaktieren und Empfehlungen für physische bzw. virtuelle Appliances befolgen (Forensik sichern, neue VM mit fixer Version ohne Übernahme alter Konfiguration aufsetzen, Zugangsdaten und kryptografisches Material erneuern)
• Allgemeine Härtung: Appliance hinter Firewall betreiben, Internetzugriff auf Management einschränken, Mail- und Management-Funktionen auf getrennte Interfaces legen, HTTP/FTP und nicht benötigte Dienste deaktivieren, starke Authentifizierung (SAML/LDAP) nutzen, Standardpasswörter ändern, Logging auf externen Server auslagern
• Cisco Secure Email Cloud-Kunden: Kein Handeln erforderlich, sofern nicht direkt von Cisco kontaktiert. Kontaktierte Kunden sollen Zugangsdaten erneuern und Zugriff beschränken.

Quellen

• https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp

Zusammenfassung

In ONLYOFFICE Document Server vor Version 5.6.3 wurde eine kritische Schwachstelle (CVE-2021-3199, CVSS 9.8) entdeckt. Eine Directory-Traversal-Lücke im Endpunkt /upload ermöglicht Remote Code Execution, wenn JWT zur Authentifizierung verwendet wird. Angreifer können über eine /..-Sequenz in einem Bild-Upload-Parameter Dateien außerhalb des vorgesehenen Verzeichnisses schreiben und so die Kontrolle über den Server übernehmen.

Technische Details

• CVE-ID: CVE-2021-3199
• CVSS Score: 9.8 (Critical)
• Schwachstellenklasse: CWE-22 Path Traversal / Directory Traversal
• Angriffsvektor: Netzwerk, keine Benutzerinteraktion erforderlich, keine erweiterten Privilegien notwendig
• Voraussetzung: JWT-Authentifizierung ist aktiviert
• Betroffener Endpunkt: /upload (Funktion zum Hochladen von Bildern)
• Ursache: Unzureichende Validierung des Bild-Upload-Parameters. Eine /..-Sequenz wird nicht gefiltert, sodass ein Pfad-Traversal aus dem Upload-Verzeichnis möglich ist.
• Auswirkung: Schreiben beliebiger Dateien auf dem Server, was zu Remote Code Execution führt
• Fix: Behoben in Version 5.6.3 laut CHANGELOG
• Exploits: Öffentliche Proof-of-Concept-Exploits (poc_uploadImageFile.py) sind verfügbar

Betroffene Systeme

• ONLYOFFICE Document Server in Versionen vor 5.6.3
• Alle Installationen mit aktivierter JWT-Authentifizierung sind besonders gefährdet
• Sowohl selbst gehostete als auch in Drittsysteme integrierte Document-Server-Instanzen, sofern nicht gepatcht

Empfehlungen und Maßnahmen

1. Update durchführen: Umgehend auf ONLYOFFICE Document Server Version 5.6.3 oder neuer aktualisieren.
2. JWT-Konfiguration prüfen: Sicherstellen, dass JWT-Secrets stark und nicht öffentlich zugänglich sind.
3. Netzwerkzugriff einschränken: Zugriff auf den /upload-Endpunkt nur für vertrauenswürdige Quellen erlauben, z. B. via Reverse-Proxy oder Firewall-Regeln.
4. System auf Kompromittierung prüfen: Logs auf ungewöhnliche Upload-Aktivitäten mit /..-Sequenzen untersuchen und Dateisystem auf unbekannte Dateien kontrollieren.
5. Defense in Depth: Document Server isoliert betreiben (Container, eigene VM, minimale Rechte) und regelmäßig Sicherheitsupdates einspielen.

Quellen

• https://github.com/ONLYOFFICE/DocumentServer/blob/903fe5ab7a275bd69c3c3346af2d21cf87ebeabf/CHANGELOG.md#563
• https://github.com/nola-milkin/poc_exploits/blob/master/CVE-2021-3199/poc_uploadImageFile.py
• https://github.com/moehw/poc_exploits/tree/master/CVE-2021-3199/poc_uploadImageFile.py

Kritische ProFTPD-Schwachstelle ermöglicht Remote-Dateizugriff (CVE-2015-3306)

Zusammenfassung

In ProFTPD 1.3.5 wurde eine kritische Schwachstelle (CVE-2015-3306, CVSS 10.0) im Modul mod_copy entdeckt. Remote-Angreifer können ohne Authentifizierung über die FTP-Befehle SITE CPFR und SITE CPTO beliebige Dateien auf dem Server lesen und schreiben. Die Schwachstelle wird aktiv ausgenutzt und ermöglicht in vielen Konfigurationen die Remote-Ausführung von Befehlen.

Technische Details

Das Modul mod_copy in ProFTPD 1.3.5 implementiert die Befehle SITE CPFR (Copy From) und SITE CPTO (Copy To) zum Kopieren von Dateien auf dem Server. Aufgrund fehlender Zugriffskontrollen können diese Befehle ohne vorherige Authentifizierung aufgerufen werden.

Ein Angreifer kann so:

• beliebige Dateien vom Server lesen (z. B. Konfigurationsdateien, Schlüssel)
• beliebige Dateien auf dem Server schreiben, z. B. in Web-Verzeichnisse
• durch Kopieren von PHP-Code oder Cron-Jobs Remote-Code-Ausführung erlangen

Mehrere öffentliche Exploits (Metasploit-Modul proftpd_modcopy_exec, Exploit-DB 36742 / 36803) demonstrieren die vollständige Kompromittierung des Systems. Die Schwachstelle ist unter dem Namen ProFTPD ModCopy Command Execution bekannt.

CVSS-Score: 10.0 — Severity: Critical

Betroffene Systeme

• ProFTPD 1.3.5 mit aktiviertem Modul mod_copy
• Distributionen, die ProFTPD 1.3.5 ausliefern, u. a. Debian, openSUSE, Fedora (siehe DSA-3263 und entsprechende Updates)
• Alle Systeme, auf denen mod_copy geladen ist und anonymer bzw. unauthentifizierter FTP-Zugriff möglich ist

Empfehlungen und Maßnahmen

1. Update einspielen: Aktualisieren Sie ProFTPD umgehend auf eine gepatchte Version. Für Debian wurde DSA-3263, für openSUSE und Fedora wurden entsprechende Sicherheits-Updates veröffentlicht.
2. Workaround: Deaktivieren Sie das Modul mod_copy, falls es nicht benötigt wird (aus proftpd.conf entfernen bzw. auskommentieren und Dienst neu starten).
3. Zugriff einschränken: Beschränken Sie den FTP-Zugriff per Firewall, deaktivieren Sie anonymen Zugriff und überwachen Sie FTP-Logs auf SITE CPFR / CPTO-Befehle.
4. Kompromittierung prüfen: Prüfen Sie Systeme mit ProFTPD 1.3.5 auf Anzeichen einer Kompromittierung (unbekannte Dateien, geänderte Web-Inhalte, verdächtige Prozesse, Cron-Jobs).
5. Grundsätzlich: Halten Sie FTP-Dienste aktuell, ersetzen Sie FTP wo möglich durch SFTP/SCP und führen Sie regelmäßige Schwachstellen-Scans durch.

Quellen

• http://www.rapid7.com/db/modules/exploit/unix/ftp/proftpd_modcopy_exec
• https://www.exploit-db.com/exploits/36803/
• http://packetstormsecurity.com/files/131555/ProFTPd-1.3.5-Remote-Command-Execution.html
• http://www.debian.org/security/2015/dsa-3263
• http://packetstormsecurity.com/files/131567/ProFTPd-CPFR-CPTO-Proof-Of-Concept.html
• http://packetstormsecurity.com/files/132218/ProFTPD-1.3.5-Mod_Copy-Command-Execution.html
• http://lists.opensuse.org/opensuse-updates/2015-06/msg00020.html
• http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157053.html
• http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157054.html
• http://www.securityfocus.com/bid/74238
• https://www.exploit-db.com/exploits/36742/
• http://lists.fedoraproject.org/pipermail/package-announce/2015-May/157581.html
• http://packetstormsecurity.com/files/131505/ProFTPd-1.3.5-File-Copy.html
• http://packetstormsecurity.com/files/162777/ProFTPd-1.3.5-Remote-Command-Execution.html

Zusammenfassung

In Fortinet FortiMail wurde die kritische Schwachstelle CVE-2026-104286 (CVSS 9.8, FG-IR-26-175) entdeckt. Eine fehlerhafte Begrenzung eines Pfadnamens (Path Traversal, CWE-22, zusätzlich CWE-158) erlaubt es einem unauthentifizierten Angreifer, über manipulierte HTTP- oder HTTPS-Anfragen beliebige Dateien auf dem System zu schreiben und so Code auszuführen. Fortinet meldet, dass die Schwachstelle bereits in freier Wildbahn ausgenutzt wird. Kunden wird dringend empfohlen, sofort den Workaround umzusetzen.

Technische Details

• CVE-ID: CVE-2026-104286
• PSIRT: FG-IR-26-175
• CVSSv3 Score: 9.8 (Critical, Vektor: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C)
• Schweregrad: Critical
• Komponente: FortiMail GUI
• Angriffstyp: Unauthenticated, Remote über HTTP/HTTPS
• Auswirkung: Schreiben beliebiger Dateien, Ausführung nicht autorisierter Codes/Befehle
• CWE: CWE-22 (Path Traversal), CWE-158 (Improper Neutralization of NULL Byte)
• Bekannte Ausnutzung: Ja, wird aktiv ausgenutzt
• Entdeckung: Intern durch Gwendal Guégniaud, Fortinet Product Security Team

Angreifer können ohne Authentifizierung speziell präparierte Anfragen an die Weboberfläche senden und so die Pfadprüfung umgehen. Laut Fortinet wurden dabei unter anderem folgende IoCs beobachtet: zusätzliche Dateien wie /data/lib/liblog.so, /data/bin/webconsole, /data/bin/mailservice, /data/etc/ld.so.preload, Änderungen an /bin/smit, /data/etc/httpd.conf und /data/migadmin.tar.gz sowie Verbindungen zu 79.141.169.187 und 45.129.0.192.

Betroffene Systeme

• Fortinet FortiMail 8.0.0 bis 8.0.1 (Fix: Upgrade auf kommendes 8.0.2 oder höher)
• Fortinet FortiMail 7.6.0 bis 7.6.6 (Fix: Upgrade auf kommendes 7.6.7 oder höher)
• Fortinet FortiMail 7.4.0 bis 7.4.8 (Fix: Upgrade auf kommendes 7.4.9 oder höher)
• Fortinet FortiMail 7.2.0 bis 7.2.9 (Fix: Upgrade auf Branch 7.4 oder höher)
• Laut EUVD zusätzlich gemeldet: Fortinet FortiMail 7.6.0 bis 7.6.5, 7.0.0 bis 7.0.9, 8.0.0, 7.2.0 bis 7.2.9, 7.4.0 bis 7.4.6

Hersteller: Fortinet

Empfehlungen und Maßnahmen

Da die finalen Patches für 8.0.2, 7.6.7 und 7.4.9 zum Veröffentlichungszeitpunkt (01.10.2026) noch als „upcoming“ angekündigt sind, sofort Workaround umsetzen:

1. IBE-Feature deaktivieren (CLI):

   config system encryption ibe
   set status disable
   end
   

2. Management-Zugriff einschränken: Zugriff auf das FortiMail-Management-Interface aus dem Internet deaktivieren oder nur aus vertrauenswürdigen privaten Netzen erlauben.
3. Upgrade planen: Sobald verfügbar auf 8.0.2+, 7.6.7+, 7.4.9+ aktualisieren; FortiMail 7.2 auf Branch 7.4 oder höher migrieren.
4. Kompromittierung prüfen: IoCs (Dateien, Hashes, IPs, Logs) kontrollieren, z. B. unbekannte Archive-Accounts (wie ‚archive234‘), verdächtige cron-Jobs (/migadmin) und IBE-Decrypter-Fehler im Log.
5. Netzwerk-Monitoring: Eingehende HTTP/HTTPS-Anfragen an FortiMail auf Traversal-Muster überwachen und IPS/Virtual Patching – falls verfügbar – aktivieren.

Bei Verdacht auf Kompromittierung System isolieren, forensisch sichern und Fortinet-Support kontaktieren.

Quellen

• https://fortiguard.fortinet.com/psirt/FG-IR-26-175