Progress MOVEit / WS_FTP / LoadMaster

Im Customer Managed ShareFile Storage Zones Controller (SZC) von Progress können nicht authentifizierte Angreifer auf eingeschränkte Konfigurationsseiten zugreifen, was zu Änderungen an der Systemkonfiguration und potenzieller Remotecodeausführung führen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 31.2 %.

Ein authentifizierter Benutzer kann eine schädliche Datei auf den Server hochladen und ausführen, was zu einer Remotecodeausführung führt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %.

NICO-FTP 3.0.1.19 enthält eine Structured-Exception-Handler-Pufferüberlauf-Schwachstelle, die es entfernten Angreifern ermöglicht, durch manipulierte FTP-Befehle beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Free Float FTP 1.0 enthält eine Pufferüberlauf-Schwachstelle im STOR-Befehlshandler, die es entfernten Angreifern durch einen manipulierten STOR-Request mit überlangem Payload ermöglicht, beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %.

Ein heap-basierter Pufferüberlauf im Windows FTP Service erlaubt einem nicht authentifizierten Angreifer die Ausführung von Schadcode über das Netzwerk – ohne Konto und ohne Benutzerinteraktion. Laut einer manuell erfassten Meldung aus reddit:r/sysadmin sind Windows-Systeme mit aktiviertem FTP-Dienst betroffen, darunter Windows Server 2019, 2022 und 2025. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Es liegen keine Hinweise auf aktive Ausnutzung (CISA KEV) oder einen Einsatz in Ransomware-Kampagnen vor. Empfohlene Massnahme: das Microsoft-Sicherheitsupdate umgehend installieren; wird FTP nicht benötigt, den Dienst deaktivieren und externen FTP-Zugriff blockieren.

Im ODBC App Server von Progress MarkLogic Server vor den Versionen 11.3.6 und 12.0.3 besteht laut NVD eine Authentifizierungsumgehung: Ein nicht authentifizierter, entfernter Angreifer kann die Passwortprüfung umgehen. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt nicht vor.

FTP Navigator 8.03 enthält eine Stack-Overflow-Schwachstelle, die es Angreifern durch Überschreiben der Structured-Exception-Handler-Register ermöglicht, beliebigen Code auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im HTTP App Server von Progress MarkLogic Server vor Version 11.3.6 beziehungsweise 12.0.3 besteht laut NVD eine HTTP-Request-Smuggling-Schwachstelle. Ein entfernter Angreifer kann dadurch laut Beschreibung Authentifizierungs- und Autorisierungsprüfungen umgehen; die Quellenbeschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 9.1 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

In Progress Sitefinity 15.4.8623 (vor Version 15.4.8630) ermöglicht eine fehlerhafte Zugriffskontrolle in den Web Services einem nicht authentifizierten Angreifer aus der Ferne, auf eigentlich eingeschränkte Inhalte zuzugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 15.4.8630 aktualisieren.

In den Web Services von Progress Sitefinity (Versionen 14.0.7700 bis 15.2.8441) besteht eine kritische Schwachstelle durch unzureichend geschützte Zugangsdaten (CWE-522). CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Query Console von Progress MarkLogic Server vor 11.3.6 und 12.0.3 besteht laut NVD eine Cross-Site-Scripting-Schwachstelle. Ein entfernter Angreifer kann einen authentifizierten Administrator auf eine präparierte URL locken; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.3 (Kritisch).

In den SQL-, SPARQL- und Optic-REST-Abfrageschnittstellen von Progress MarkLogic Server vor 11.3.6 und 12.0.3 besteht laut NVD eine unzureichende Rechteverwaltung. Ein authentifizierter Nutzer mit geringen Rechten kann die Lücke ausnutzen; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.9 (Kritisch).

ClipBucket v5, eine Open-Source-Plattform zum Teilen von Videos, ist vor Version 5.5.3 - #129 über den Endpunkt actions/progress_video.php für Blind SQL Injection anfällig. Jeder nicht authentifizierte Nutzer kann die Lücke ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 5.5.3 - #129 oder neuer aktualisieren.

In der REST-API-Patch-Operation für Dokumente von Progress MarkLogic Server vor Version 11.3.6 beziehungsweise 12.0.3 besteht laut NVD eine fehlerhafte Rechteverwaltung. Ein authentifizierter Benutzer mit einer niedrig privilegierten REST-Rolle kann diese ausnutzen; die vorliegende Beschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 9.9 (Kritisch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

Eine fehlerhafte Rechteverwaltung in der Hadoop-Integration von Progress MarkLogic Server vor Version 11.3.6 sowie 12.0.3 erlaubt einem authentifizierten Nutzer mit niedrig privilegierter Hadoop-Rolle die Ausweitung seiner Rechte. CVSS-Basiswert: 9.9 (Kritisch). Laut Zuordnung sind Progress MoveIt und Progress OpenEdge betroffen.

Im SAML-Authentifizierungsmodul von Progress MarkLogic Server vor 11.3.6 und 12.0.3 wird laut NVD die kryptografische Signatur unzureichend geprüft. Ein nicht authentifizierter, entfernter Angreifer kann dies ausnutzen; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 9.1 (Kritisch).

In Progress MOVEit Automation besteht eine kritische Schwachstelle, die eine Authentifizierungsumgehung durch eine primäre Schwäche ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Konica Minolta FTP Utility 1.0 enthält eine Buffer-Overflow-Schwachstelle im NLST-Befehl, die es Angreifern ermöglicht, Systemregister zu überschreiben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Konica Minolta FTP Utility 1.0 enthält eine Buffer-Overflow-Schwachstelle im LIST-Befehl, die es Angreifern ermöglicht, Systemregister zu überschreiben. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Die FTP-Client-Bibliothek „basic-ftp” für Node.js enthält in Versionen vor 5.2.0 eine Path-Traversal-Schwachstelle (CWE-22) in der Methode „downloadToDir()”. Ein bösartiger FTP-Server kann manipulierte Verzeichnislisten senden, um Dateien ausserhalb des vorgesehenen Zielverzeichnisses zu schreiben. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

HireFlow ist ein webbasiertes System zur Verwaltung von Bewerbungsgesprächen (Kandidaten, Terminplanung, Verfolgung des Einstellungsprozesses). In Version 1.2 und früher weist die Datei app.py einen fest kodierten Flask-Secret-Key zu, der so für alle Installationen identisch und öffentlich bekannt ist. Ein solcher statischer Schlüssel erlaubt es Angreifern, Sitzungsdaten zu fälschen und sich unbefugten Zugriff zu verschaffen. CVSS-Basiswert: 10 (Kritisch).

In WhatsUp Gold in Versionen vor 2024.0.2 kann ein nicht authentifizierter Angreifer die LDAP-Einstellungen konfigurieren. CVSS-Basiswert: 9.4 (Kritisch). Empfohlene Massnahme: Aktualisierung auf WhatsUp Gold 2024.0.2 oder neuer.

In WhatsUp Gold in Versionen vor 2024.0.2 kann ein Angreifer über die öffentliche API Zugriff auf den WhatsUp-Gold-Server erlangen. CVSS-Basiswert: 9.6 (Kritisch). Empfohlene Massnahme: Aktualisierung auf WhatsUp Gold 2024.0.2 oder neuer.

In WhatsUp Gold Versionen vor 2024.0.1 kann ein entfernter, nicht authentifizierter Angreifer diese Schwachstelle ausnutzen, um Code im Kontext des Dienstkontos auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf WhatsUp Gold 2024.0.1.

In WhatsUp Gold vor Version 2024.0.1 kann ein nicht authentifizierter Angreifer aus der Ferne über NmAPI.exe einen Registrierungswert im Pfad HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Ipswitch\ anlegen oder ändern. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Version 2024.0.1 oder neuer aktualisieren.

Eine Authentifizierungsumgehung in WhatsUp Gold in Versionen vor 2024.0.0, die es einem Angreifer ermöglicht, verschlüsselte Benutzeranmeldedaten zu erlangen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf die bereitgestellte fehlerbereinigte Version 2024.0.0 aktualisieren.

In Progress Telerik Report Server vor 2024 Q3 (10.2.24.924) ist über Object Injection infolge einer unsicheren Typauflösung Remote Code Execution möglich. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf 2024 Q3 (10.2.24.924) oder neuer.

In WhatsUp Gold in Versionen vor 2024.0.0 erlaubt eine SQL-Injection einem nicht authentifizierten Angreifer, das verschlüsselte Passwort des Benutzers abzurufen, sofern die Anwendung mit nur einem einzigen Benutzer konfiguriert ist. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf WhatsUp Gold 2024.0.0 oder neuer.

In Progress Telerik Report Server vor 2024 Q2 (10.1.24.709) ist über eine unsichere Deserialisierung ein Angriff mit Remote Code Execution möglich. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2024 Q2 (10.1.24.709) oder neuer.

In WhatsUp Gold in Versionen vor 2023.1.3 besteht eine Schwachstelle zur Remotecodeausführung. Sie erlaubt einem nicht authentifizierten Angreifer, über NmApi.exe Code als Dienstkonto auszuführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Update auf WhatsUp Gold 2023.1.3 oder neuer.

In Progress WhatsUp Gold Versionen vor 2023.1.3 besteht eine nicht authentifizierte Schwachstelle zur Remote-Code-Ausführung. Der betroffene CommunityController erlaubt die Ausführung von Befehlen mit den Rechten des iisapppool\nmconsole-Kontos. Da kein gültiger Zugang nötig ist, können Angreifer aus der Ferne beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf 2023.1.3.

In Progress MOVEit Gateway besteht eine Schwachstelle durch unzureichende Authentifizierung in den SFTP-Modulen, die einen Authentifizierungs-Bypass ermöglicht. Betroffen ist MOVEit Gateway in Version 2024.0.0. CVSS-Basiswert: 9.1 (Kritisch).

In Progress MOVEit Transfer (SFTP-Modul) besteht eine Schwachstelle durch fehlerhafte Authentifizierung, die zu einer Authentifizierungsumgehung führen kann. Betroffen sind die Versionen ab 2023.0.0 vor 2023.0.11, ab 2023.1.0 vor 2023.1.6 und ab 2024.0.0 vor 2024.0.2. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 2023.0.11, 2023.1.6 bzw. 2024.0.2 oder neuer.

In Flowmon vor den Versionen 11.1.14 und 12.3.5 wurde eine Schwachstelle für Betriebssystem-Befehlsinjektion festgestellt. Ein nicht authentifizierter Benutzer kann über die Flowmon-Management-Schnittstelle in das System eindringen und beliebige Systembefehle ausführen. CVSS-Basiswert: 10 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 11.1.14 bzw. 12.3.5 oder neuer.

In Progress Telerik Report Server vor Version 2024 Q1 (10.0.24.130) ist über eine unsichere Deserialisierung eine Remote-Code-Ausführung möglich. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: Update auf Version 2024 Q1 (10.0.24.130) oder neuer.

In Progress OpenEdge Authentication Gateway und AdminServer vor 11.7.19, 12.2.14 und 12.8.1 besteht eine Schwachstelle zur Authentifizierungsumgehung. Durch unerwartete Inhalte in den Anmeldedaten kann die Prüfung von Benutzername und Passwort umgangen werden, was unbefugten Zugriff ohne gültige Authentifizierung ermöglicht. CVSS-Basiswert: 10.0 (Kritisch). Empfohlene Massnahme: auf die korrigierten OpenEdge-Versionen aktualisieren.

Der Progress Application Server (PAS) für OpenEdge ist in den Versionen 11.7 vor 11.7.18, 12.2 vor 12.2.13 sowie in Innovation-Releases vor 12.8.0 betroffen. Ein Angreifer kann eine Anfrage für einen WEB-Transport so formulieren, dass unbeabsichtigte Datei-Uploads in ein Serververzeichnis des PASOE-Systems möglich sind. Enthält der Upload eine ausnutzbare Nutzlast, kann daraus ein grösser angelegter Angriff entstehen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Aktualisierung auf die vom Hersteller bereitgestellte fehlerbereinigte Version.