JeeWMS: Unauthentifizierte Path Traversal in Datei-Download-Endpunkt

Zusammenfassung

JeeWMS, ein Open-Source-Warehouse-Management-System, enthält eine unauthentifizierte Path Traversal Schwachstelle im Endpunkt /systemController/showOrDownByurl.do. Entfernte Angreifer können mit präparierten GET-Anfragen und ../-Sequenzen im Parameter dbPath den Authentifizierungs-Interceptor umgehen und beliebige Dateien auf dem Server lesen, beispielsweise win.ini oder /etc/passwd. Es ist weder eine Anmeldung noch eine Benutzerinteraktion erforderlich, der Angreifer benötigt jedoch Netzwerkzugriff auf die Anwendung.

Betroffen

• JeeWMS-Stände ab Commit 194f221776cfcfd838abab7107b1a8352ea2bc59 bis vor Commit 0a610e8178a0a1197e9c6615b58faf67c406d2bc (gemäss VulnCheck)
• Release-Versionen: Unbekannt.

Behoben in

• Upstream-Fix: Commit 0a610e8178a0a1197e9c6615b58faf67c406d2bc im Repository erzhongxmu/JeeWMS.
• Herstellerhinweis: Unbekannt.
• Behobene Release-Version: Unbekannt. Beim Hersteller bestätigen, welches Release diesen Commit enthält.

Umgehung

• Es ist kein offizieller Workaround bekannt.
• Den externen Zugriff auf den Pfad /systemController/ am Reverse Proxy oder an der Web Application Firewall blockieren oder einschränken.
• Webserver-Logs auf Anfragen an showOrDownByurl.do mit ungewöhnlichen dbPath-Werten prüfen.

Ausnutzung

• Öffentliche Proof-of-Concept-Beschreibungen und ein Nuclei-Erkennungstemplate sind vorhanden.
• Ausnutzung in freier Wildbahn: Widersprüchliche Angaben. VulnCheck führt die Schwachstelle in seinem KEV-Feed, während HOL angibt, dass aktuelle Quellen sie nicht als aktiv ausgenutzt markieren. Ein Eintrag im CISA-KEV-Katalog wurde nicht gefunden.
• Eine gemeldete erste Beobachtung einer Ausnutzung durch Shadowserver am 17.10.2023 konnte nicht verifiziert werden.
• Die CVSS-Bewertungen unterscheiden sich je nach Quelle: 8.7 (CVSS 4.0, bereitgestellt), 7.5 (CVSS 3.1 bei einigen Quellen), 5.3 (VulDB).

Unsere Empfehlung

• Prüfen, ob JeeWMS-Instanzen im Einsatz sind, insbesondere solche, die aus dem Internet erreichbar sind.
• Den Zugriff auf die Anwendung oder den betroffenen Pfad einschränken, bis ein gefixter Build bestätigt ist.
• Das gepatchte Release beim Hersteller oder bei den Maintainern beziehen und prüfen, ob es Commit 0a610e8 enthält.
• Logs auf Anfragen an showOrDownByurl.do prüfen und auf Anzeichen von Dateioffenlegung kontrollieren.
• Zugangsdaten und Secrets rotieren, falls eine verwundbare Instanz öffentlich erreichbar war.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 0a610e8 (erzhongxmu/JeeWMS) github.com
• VulnCheck advisory: JeeWMS Path Traversal via showOrDownByurl.do www.vulncheck.com
• Nuclei template jeewms-lfi.yaml github.com
• MrWQ vulnerability paper (JeeWMS) github.com
• VulDB entry 425264 vuldb.com
• Goby PoC: JeeWMS Arbitrary File Read github.com
• JeeWMS repository (erzhongxmu) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:51.