Fortra hat Details zu einer nun behobenen kritischen Sicherheitslücke in seiner FileCatalyst-Dateiübertragungslösung veröffentlicht, die es nicht authentifizierten Angreifern ermöglichen könnte, eine Remote-Codeausführung auf anfälligen Servern zu erlangen.
Die Schwachstelle, gekennzeichnet als CVE-2024-25153, weist einen CVSS-Score von 9,8 auf einer Skala bis maximal 10 auf.
„Eine Pfadüberquerung im ‚ftpservlet‘ des FileCatalyst Workflow Webportals ermöglicht es, Dateien mit einer speziell gestalteten POST-Anfrage außerhalb des vorgesehenen ‚uploadtemp‘-Verzeichnisses hochzuladen“, erklärte das Unternehmen in einem Beratungsdokument letzte Woche.
„In Fällen, in denen eine Datei erfolgreich im DocumentRoot des Webportals hochgeladen wird, könnten speziell gestaltete JSP-Dateien dazu verwendet werden, Code auszuführen, einschließlich Web-Shells.“
Die Sicherheitslücke wurde erstmals am 9. August 2023 gemeldet und zwei Tage später in der FileCatalyst Workflow-Version 5.1.6 Build 114 ohne eine CVE-Kennung behoben. Fortra wurde Anfang Dezember 2023 als CVE Numbering Authority (CNA) autorisiert.
Der Sicherheitsforscher Tom Wedgbury von LRQA Nettitude wurde für die Entdeckung und Meldung des Fehlers anerkannt. Das Unternehmen hat inzwischen ein vollständiges Proof-of-Concept (PoC) veröffentlicht, das beschreibt, wie die Schwachstelle ausgenutzt werden könnte, um eine Web-Shell hochzuladen und willkürliche Systembefehle auszuführen.
Im Januar 2024 hat Fortra auch zwei weitere Sicherheitslücken in FileCatalyst Direct (CVE-2024-25154 und CVE-2024-25155) behoben, die zu Informationslecks und Codeausführungen führen könnten.
Nachdem zuvor offengelegte Mängel in Fortra GoAnywhere Managed File Transfer (MFT) im letzten Jahr von Bedrohungsakteuren wie Cl0p intensiv ausgenutzt wurden, wird empfohlen, dass Benutzer die notwendigen Updates angewendet haben, um potenzielle Bedrohungen zu mindern.
