HDP Server: Unbefugter Zugriff durch IP-Spoofing über X-Forwarded-For

Beschreibung

In HDP Server Versionen unterhalb von 4.6.2.2978 unter Linux kann unbefugter Zugriff durch IP-Spoofing über den X-Forwarded-For-Header entstehen. Da es sich um einen clientseitig gesetzten Header handelt, lässt er sich fälschen, sodass unbefugter Zugriff möglich wird, wenn die vorgetäuschte IP in einem freigegebenen Bereich liegt. Damit lassen sich IP-Beschränkungen umgehen, für den Ressourcenzugriff sind jedoch weiterhin gültige Zugangsdaten nötig. CVSS-Basiswert: 8.4 (Hoch). Empfohlene Massnahme: auf Version 4.6.2.2978 oder neuer aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Progress MOVEit / WS_FTP / LoadMaster

• Progress ADC / LoadMaster: OS-Command-Injection in der API ermöglicht Remote Code Execution KEV CVE-2026-8037
• Wing FTP Server – Information Disclosure KEV CVE-2025-47813
• Meta React Server Components – Remote Code Execution KEV CVE-2025-55182
• Wing FTP Server – Unsachgemässe Behandlung von Null-Bytes KEV CVE-2025-47812
• Progress WhatsUp Gold – Path Traversal KEV CVE-2024-4885
• Progress Kemp LoadMaster – OS Command Injection KEV CVE-2024-1212