PRTG Network Monitor Seite 2

Jungo WinDriver in den Versionen 6.0.0 bis 16.1.0 weist eine fehlerhafte Rechteverwaltung auf, die es lokalen Angreifern erlaubt, ihre Rechte auszuweiten und beliebigen Code auszuführen. Der Angriffsvektor ist lokal bei geringem Angriffsaufwand; bereits geringe Rechte genügen, eine Nutzerinteraktion ist nicht nötig. Vertraulichkeit, Integrität und Verfügbarkeit sind bei erfolgreicher Ausnutzung vollständig betroffen. CVSS-Basiswert: 7.8 (Hoch).

In Jungo WinDriver vor Version 12.1.0 besteht eine fehlerhafte Berechtigungsverwaltung. Lokale Angreifer können dadurch ihre Rechte ausweiten und beliebigen Code ausführen. CVSS-Basiswert: 7.8 (Hoch).

Der Azure Monitor Agent weist eine Schwachstelle auf, die eine Rechteausweitung (Elevation of Privilege) ermöglicht. Weitere technische Details liegen in den Quelldaten nicht vor. Der Angriffsvektor ist lokal bei geringem Angriffsaufwand; bereits geringe Rechte genügen, eine Nutzerinteraktion ist nicht nötig. Vertraulichkeit, Integrität und Verfügbarkeit sind bei erfolgreicher Ausnutzung vollständig betroffen. CVSS-Basiswert: 7.8 (Hoch).

Im Azure Monitor Agent besteht eine Schwachstelle, die eine Rechteausweitung ermöglicht. CVSS-Basiswert: 8.4 (Hoch).

Das WordPress-Plugin Download Monitor von WPChill enthält bis Version 4.9.4 eine SQL-Injection-Schwachstelle durch unzureichende Neutralisierung spezieller Elemente in SQL-Befehlen. CVSS-Basiswert: 7.6 (Hoch).

In einigen Versionen der Intel(R) PCM-Software vor 202307 besteht ein Pufferunterlauf. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann dadurch potenziell einen Denial-of-Service-Zustand auslösen. CVSS-Basiswert: 7.5 (Hoch).

Im Plugin SEO Change Monitor – Track Website Changes (CrawlSpider) besteht eine SQL-Injection-Schwachstelle, bei der Sonderzeichen in einem SQL-Befehl unzureichend neutralisiert werden. Betroffen sind Versionen von n/a bis einschliesslich 1.2. Angreifer können darüber eigene SQL-Fragmente einschleusen und so auf Datenbankinhalte zugreifen. CVSS-Basiswert: 8.5 (Hoch).

In Bosch BT-Softwareprodukten besteht eine Schwachstelle durch eine fehlerhafte Behandlung manipulierter API-Anfragen an einen API-Server. Ein nicht authentifizierter Angreifer kann dadurch eine Denial-of-Service-Situation auslösen. CVSS-Basiswert: 7.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Im WordPress-Plugin Campaign Monitor besteht eine Schwachstelle durch unzureichende Neutralisierung von Eingaben bei der Webseitengenerierung, die reflektiertes Cross-Site-Scripting ermöglicht. Betroffen sind alle Versionen bis einschliesslich 2.8.12. CVSS-Basiswert: 7.1 (Hoch).

Dell Command | Monitor weist vor Version 10.10.0 eine Schwachstelle durch unzureichende Zugriffskontrolle auf. Ein lokaler, böswilliger Standardbenutzer kann diese während einer Reparatur oder Änderung der Installation ausnutzen und dadurch seine Rechte ausweiten. CVSS-Basiswert: 7.3 (Hoch). Zugeordnet sind die Hersteller Dell (BIOS/DSA), Dell EMC (PowerStore/Isilon/Unity) und Paessler AG.

Das WordPress-Plugin Campaign Monitor Forms by Optin Cat vor 2.5.6 verhindert nicht, dass Benutzer mit niedrigen Rechten (etwa Abonnenten) beliebige Optionen einer Website mit dem Wert true überschreiben. Das kann zu verschiedenen Folgen bis hin zu einem Denial-of-Service führen. CVSS-Basiswert: 8.1 (Hoch).

Nessus Network Monitor validiert unter bestimmten Bedingungen Eingaben nicht ordnungsgemäss. Dies kann einem Admin-Benutzer erlauben, Parameter so zu verändern, dass eine Blind-SQL-Injection möglich wird. CVSS-Basiswert: 7.2 (Hoch).

Unter bestimmten Bedingungen erlaubt Nessus Network Monitor einem niedrig privilegierten Benutzer, durch Ersetzen einer speziell präparierten Datei seine Rechte auf Windows-Hosts bis zu NT AUTHORITY\SYSTEM auszuweiten. CVSS-Basiswert: 7.1 (Hoch).

NNM setzt die Zugriffsrechte (ACLs) auf sein Installationsverzeichnis nicht korrekt, wenn die Software in einem nicht standardmässigen Pfad installiert wird. Dadurch kann ein niedrig privilegierter Benutzer beliebigen Code mit SYSTEM-Rechten ausführen. CVSS-Basiswert: 7.0 (Hoch).

In PRTG 23.2.84.1566 und früher wurde eine Umgehung des CSRF-Tokens festgestellt. Ein entfernter Angreifer kann damit Aktionen mit den Berechtigungen eines Opfers ausführen, sofern dieses eine aktive Sitzung besitzt und dazu verleitet wird, die schädliche Anfrage auszulösen. Auf diese Weise lassen sich verschiedene Aktionen erzwingen, etwa das Anlegen neuer Benutzer. CVSS-Basiswert: 8.8 (Hoch).

In PRTG 23.2.84.1566 und früheren Versionen wurde eine Command-Injection-Schwachstelle im HL7-Sensor identifiziert. Ein authentifizierter Nutzer mit Schreibrechten kann die Debug-Option missbrauchen, um neue Dateien zu schreiben, die anschliessend vom EXE/Script-Sensor potenziell ausgeführt werden. CVSS-Basiswert: 7.2 (Hoch).

In PRTG 23.2.84.1566 und früheren Versionen besteht im Dicom-C-ECHO-Sensor eine Command-Injection-Schwachstelle. Laut NVD kann ein authentifizierter Nutzer mit Schreibrechten die Debug-Option missbrauchen, um neue Dateien zu schreiben, die anschliessend vom EXE/Script-Sensor potenziell ausgeführt werden. CVSS-Basiswert: 7.2 (Hoch).

In Lexmark Services Monitor 2.27.4.0.39 (auf TCP-Port 2070) kann ein entfernter Angreifer über eine Directory-Traversal-Technik mit /../../../ bzw. ..%2F..%2F..%2F lokale Dateien des Host-Betriebssystems auslesen. CVSS-Basiswert: 7.5 (Hoch).

Apache Log4j2 in den Versionen 2.0-alpha1 bis 2.16.0 (ausgenommen 2.12.3 und 2.3.1) schützt nicht vor unkontrollierter Rekursion durch selbstreferenzielle Lookups. Ein Angreifer mit Kontrolle über Thread-Context-Map-Daten kann damit einen Denial-of-Service auslösen. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-44790) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 96.8 %.

Für SolarWinds-Produkte wurde eine Sicherheitslücke (CVE-2021-31474) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 94.4 %.

Für Apache Log4j wurde eine Sicherheitslücke (CVE-2017-5645) gemeldet, die von der Apache Software Foundation in ihren Sicherheitshinweisen geführt wird. Laut Quellenlage sind neben Apache Log4j auch Produkte zahlreicher weiterer Hersteller betroffen, darunter NetApp, Rockwell Automation, Oracle und Microsoft. Ausnutzungswahrscheinlichkeit (EPSS): 89.8 %.

In SICK Package Analytics wurden im Zusammenhang mit CVE-2021-3711 Sicherheitslücken gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.8 %. 1 Produkt(e) betroffen, 0 mit Fix.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2019-11358) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.2 %.

Für Produkte von Axis wurde eine Sicherheitslücke (CVE-2021-44224) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 82.3 %.

Apache Tomcat verarbeitete den HTTP-Header transfer-encoding in bestimmten Konstellationen fehlerhaft, was unter Umständen die Möglichkeit von Request Smuggling eröffnet. Betroffen sind die Versionsreihen 10.0.0-M1 bis 10.0.6, 9.0.0.M1 bis 9.0.46 sowie 8.5.0 bis 8.5.66. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 75.4 %.

Für Axis-Produkte wurde eine Sicherheitslücke behoben, die auf einer Schwachstelle in OpenSSL beruht; betroffen ist eine grosse Zahl weiterer Hersteller und Distributionen. Ausnutzungswahrscheinlichkeit (EPSS): 62.9 %.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2021-23017) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 53.5 %.

Für Synology- und Axis-Produkte wurde eine Sicherheitslücke in OpenSSL gemeldet (Synology-SA-20:05). Ausnutzungswahrscheinlichkeit (EPSS): 53.3 %.

Für Produkte von Axis Communications wurde eine Sicherheitslücke (CVE-2021-23840) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 50.7 %.

Für OpenSSL wurde eine Sicherheitslücke (CVE-2021-3712) gemeldet; zahlreiche Hersteller (u. a. Zimbra, Axis und NetApp) führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 50.4 %.

Für mehrere überwachte Produkte wurde eine Sicherheitslücke (CVE-2021-41184) gemeldet; Znuny/OTRS führt die betroffene Komponente in seinem Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 40.8 %.

Für mehrere Produkte (u. a. Znuny/OTRS, Drupal und NetApp) wurde eine Sicherheitslücke (CVE-2021-41182) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Ausnutzungswahrscheinlichkeit (EPSS): 39.4 %.

Für Axis-Produkte wurde eine Sicherheitslücke (CVE-2021-3450) gemeldet, die die OpenSSL-Bibliothek betrifft und per Advisory adressiert wurde; mehrere Hersteller sind betroffen. Eine nähere technische Beschreibung liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 18.3 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-5482) gemeldet und im Sicherheitsadvisory des curl-Projekts dokumentiert. Ausnutzungswahrscheinlichkeit (EPSS): 17.9 %.

Für Produkte von Axis Communications liegt ein Sicherheitshinweis des Herstellers vor. Zur genauen Schwachstelle enthalten die Quelldaten keine belastbare technische Beschreibung, weshalb Angriffsweg und Auswirkung hier nicht näher ausgeführt werden. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 17.1 %. Empfohlene Massnahme: den referenzierten Sicherheitshinweis des Herstellers beachten und verfügbare Aktualisierungen einspielen.

Für Produkte von Axis und OpenSSL sowie zahlreiche weitere Hersteller (unter anderem SUSE/openSUSE, MySQL/MariaDB, Paessler und Oracle) wurde eine Sicherheitslücke (CVE-2019-1551) gemeldet. Ein CVSS-Basiswert liegt in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 14.3 %.

Für curl-Produkte wurde eine Sicherheitslücke (CVE-2019-3822) gemeldet; als Beleg dienen die Schwachstellenübersicht und die Security-Seite des curl-Projekts. Eine nähere technische Beschreibung, ein CVSS-Basiswert oder ein Veröffentlichungsdatum sind in den Quelldaten nicht enthalten. Ausnutzungswahrscheinlichkeit (EPSS): 12.8 %. Empfohlene Massnahme: auf eine aktuelle curl-Version aktualisieren.

Diese Schwachstelle betrifft curl/libcurl und wird in den Sicherheitshinweisen des Projekts geführt. Eine detaillierte technische Beschreibung liegt in den vorliegenden Quelldaten nicht vor, ebenso wenig ein CVSS-Basiswert. Ausnutzungswahrscheinlichkeit (EPSS): 11.0 %. Empfohlene Massnahme: die Sicherheitshinweise von curl prüfen und auf eine korrigierte Version aktualisieren.

Für mehrere Produkte (u. a. Znuny/OTRS, Ubiquiti und Fedora) wurde eine Sicherheitslücke (CVE-2021-41183) gemeldet; die Hersteller führen sie in ihren Sicherheitshinweisen. Nähere technische Details liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 8.5 %.

Diese OpenSSL-Schwachstelle ist laut dem Axis-Security-Advisory-Portal in Axis-Produkten dokumentiert und wird zusätzlich von zahlreichen weiteren Herstellern geführt, darunter Debian (DSA), Qualys/Rapid7/Tenable, Paessler AG, Apple (macOS/iOS), NetApp, Rockwell Automation, HPE Storage, IBM Storage, Pure Storage, MySQL/MariaDB, Oracle (CPU/EBS/PeopleSoft/WebLogic), Siemens Healthineers und Siemens ProductCERT. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, daher wird die Schwere als Mittel eingestuft. Ausnutzungswahrscheinlichkeit (EPSS): 7.4 %. Details zu betroffenen Versionen und Massnahmen sind den jeweiligen Hersteller-Advisories zu entnehmen.

Für CVE-2019-5481 liegt ein Eintrag im curl-Sicherheitsadvisory (curl.se) vor. Die Zuordnung umfasst zudem Fedora, NetApp, NAKIVO, Axis, Paessler PRTG, MySQL/MariaDB, SimpleHelp, Debian (DSA) und SUSE/openSUSE. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 7.3 %.

Für CVE-2018-16890 liegt ein Sicherheitshinweis von curl / Daniel Stenberg vor. Laut Zuordnung sind zudem Zabbly / Canonical, Ubuntu (USN), Debian (DSA), NetApp, Siemens Healthineers, Siemens ProductCERT, SimpleHelp Ltd, Axis, Paessler AG, Zoho und F5 betroffen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 5.4 %.

Für curl wurde eine Sicherheitslücke (CVE-2019-3823) gemeldet. Betroffen sind zudem mehrere nachgelagerte Distributionen und Produkte, die curl einsetzen, u. a. Ubuntu (USN), Debian (DSA) und NetApp. Ausnutzungswahrscheinlichkeit (EPSS): 4.3 %.

Für Paessler PRTG Network Monitor wurde eine Sicherheitslücke (CVE-2024-12833) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

Der MS27102A Remote Spectrum Monitor ist für eine Authentifizierungsumgehung anfällig, die unbefugten Nutzern den Zugriff auf die Verwaltungsschnittstelle und deren Manipulation ermöglicht. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle im Tempo Operator führt dazu, dass bei aktivierter Jaeger-UI-Monitor-Tab-Funktion in einer vom Tempo Operator verwalteten Tempo-Instanz eine ClusterRoleBinding für das zugehörige ServiceAccount angelegt wird. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Für PRTG Network Monitor von Paessler wurde die Sicherheitslücke CVE-2025-67835 gemeldet. Nähere technische Details liegen in den Quelldaten nicht vor; ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In AutohomeCorp frostmourne bis Version 1.0 besteht eine Schwachstelle in der Funktion httpTest der Datei /api/monitor-api/alarm/previewData der Komponente Alarm Preview. Durch Manipulation lässt sich die Schwachstelle ausnutzen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Für PRTG Network Monitor (Paessler) wurde eine Sicherheitslücke (CVE-2025-67833) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.