Progress MOVEit / WS_FTP / LoadMaster Seite 2

In den Web Services von Progress Sitefinity (Versionen 14.1.x bis 15.3.x) besteht eine Schwachstelle durch unsachgemässe Eingabevalidierung (CWE-20). CVSS-Basiswert: 8.8 (Hoch).

In den Web Services von Progress Sitefinity (Versionen 8.0.5700 bis 13.3.7652) können entfernte authentifizierte Angreifer Klartext-Zugangsdaten auslesen (CWE-522). CVSS-Basiswert: 8.7 (Hoch).

Xlight FTP Server 3.9.1 enthält eine Schwachstelle durch Überschreiben des Structured Exception Handlers (SEH), die es lokalen Angreifern ermöglicht, die Anwendung zum Absturz zu bringen und SEH-Zeiger durch Übergabe eines manipulierten Puffers zu überschreiben. CVSS-Basiswert: 8.4 (Hoch).

Wing FTP Server 6.0.7 enthält eine Unquoted-Service-Path-Schwachstelle, die es lokalen Angreifern ermöglicht, potenziell beliebigen Code mit erhöhten Systemprivilegien auszuführen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Eine Schwachstelle durch relatives Path Traversal im Admin-Settings-Modul von Progress MOVEit Transfer betrifft Versionen vor 2025.0.7 sowie 2025.1.0 vor 2025.1.3. CVSS-Basiswert: 4.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Update auf 2025.0.7 bzw. 2025.1.3 oder neuer einspielen.

In den Custom-Reports-Modulen von Progress MOVEit Transfer besteht eine Schwachstelle durch unzureichende Neutralisierung von Sonderzeichen in der Abfragelogik. Betroffen ist MOVEit Transfer vor 2025.0.7 sowie ab 2025.1.0. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Eine Server-Side-Request-Forgery-Schwachstelle (SSRF) im ftp-Modul (ftp_internal) von Erlang/OTP erlaubt FTP-Bounce-Angriffe und SSRF über eine nicht validierte IP-Adresse in der PASV-Antwort. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle in der Garbage Collection von af_unix behoben: In unix_gc() wurde gc_in_progress nicht korrekt auf true gesetzt, sodass die GC unter falscher Annahme laufen konnte. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Fix wird über die Kernel-Pakete der betroffenen Distributionen verteilt; das bereitgestellte Update sollte eingespielt werden.

Laut Quellbeschreibung können Administratoren in Froxlor 2.3.6 über die Einstellung `system.available_shells` die Liste der zugelassenen Shells festlegen, die Kunden ihren FTP-Nutzern zuweisen dürfen. Die Quelldaten deuten auf eine unzureichende Durchsetzung dieser Vorgabe hin; weitergehende Details sind nicht belegt. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Arket Globe Document Intelligence 5.0.0.559 besteht eine Cross-Site-Scripting-Schwachstelle auf der Seite 'Task in Progress / Recent'. Ursache ist eine unzureichende Bereinigung von Nutzereingaben in Textfeldern beim Erstellen von Aufgaben. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Im WordPress-Plugin „Progress Planner” von Emilia Projects besteht eine Schwachstelle durch unsachgemässe Neutralisierung von Eingaben bei der Webseitengenerierung (Stored Cross-Site Scripting). CVSS-Basiswert: 5.9 (Mittel).

Im Linux-Kernel wurde eine Schwachstelle im netfilter-Connection-Tracking (nft_ct) behoben. Für genattete Verbindungen wird nun eine seqadj-Extension hinzugefügt, wie sie etwa für FTP-Traffic mit PASV/EPSV benötigt wird. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Empfohlene Massnahme: die von den Distributionen (Amazon Linux, Oracle Linux, Rocky Linux) bereitgestellten Kernel-Updates einspielen.

Für Progress-Produkte (MOVEit) wurde eine Sicherheitslücke (CVE-2025-66478) gemeldet.

In den File-Upload-Modulen von Progress MOVEit Transfer besteht eine Path-Equivalence-Schwachstelle. Betroffen sind MOVEit Transfer vor 2025.0.8 sowie ab 2025.1.0 vor 2025.1.4. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf MOVEit Transfer 2025.0.8 bzw. 2025.1.4.

Eine eingeschränkte Schwachstelle zur Authentifizierungsumgehung durch Spoofing betrifft das HTTPS-Modul von Progress MOVEit Transfer. Betroffen sind Versionen vor 2025.0.7 sowie von 2025.1.0 vor 2025.1.3. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: MOVEit Transfer auf 2025.0.7 bzw. 2025.1.3 oder neuer aktualisieren.

Eine fehlerhafte Autorisierung im Audit-User-Modul von Progress MOVEit Transfer betrifft die Versionen vor 2025.0.7 sowie ab 2025.1.0 vor 2025.1.3. CVSS-Basiswert: 2.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf MOVEit Transfer 2025.0.7 bzw. 2025.1.3 oder neuer aktualisieren.