YiShaAdmin: Unauthentifizierte Path Traversal in Datei-Download-Endpunkt

Zusammenfassung

YiShaAdmin in den Versionen 2.2 bis 3.1, ein webbasiertes Admin-System auf Basis von .NET, enthält im Endpunkt /admin/File/DownloadFile eine unauthentifizierte Path-Traversal-Schwachstelle. Ein Angreifer aus dem Netzwerk kann mit gezielt aufgebauten GET-Anfragen beliebige Dateien lesen, etwa Konfigurationsdateien mit Zugangsdaten, und bei gesetztem Delete-Parameter auch löschen. Eine Anmeldung ist nicht erforderlich. Es wurden Ausnutzungsversuche gemeldet, die Quellen widersprechen sich jedoch, ob die Schwachstelle als aktiv ausgenutzt bekannt ist.

Betroffen

• YiShaAdmin 2.2 bis 3.1 (gemäss CNA-Eintrag)
• Forks und abgeleitete Projekte können betroffen sein; eigene Codebasis prüfen
• Umfang für weitere gepflegte Linien (.NET 6.0/7.0-Varianten) ist nicht geklärt

Behoben in

• Fix-Commits: 025b0628b1295bd2d9fd6c9b5b82692a345151ef (im CVE-Eintrag als Fix genannt) und c3b66e66bf6d70a561190cd8da7f4df7b141931d
• Behobene Release-Version: Unbekannt.
• Die Commits ergänzen die Pfadfilterung in FilterFilePath und DownloadFile; die Vollständigkeit dieser Filterung wurde nicht unabhängig geprüft.

Umgehung

• Kein Workaround des Herstellers dokumentiert.
• Zugriff auf das Admin-Panel und die Datei-Endpunkte aus dem Internet blockieren (VPN oder IP-Allowlist).
• Die Anwendung mit minimalen Dateisystemrechten betreiben.

Ausnutzung

• Ausnutzungsnachweise wurden von der Shadowserver Foundation erstmals am 2023-10-20 beobachtet (gemeldet).
• Ein öffentliches nuclei-Erkennungstemplate existiert, was das Auffinden verwundbarer Systeme erleichtert.
• KEV-Status widersprüchlich: VulnCheck führt die Schwachstelle in seinem KEV-Feed; eine andere Quelle markiert sie nicht als aktiv ausgenutzt. Kein CISA-KEV-Eintrag gefunden.
• CVSS-4.0-Basiswert 8.8; NVD-Analyse ausstehend (Deferred).

Unsere Empfehlung

• Alle Systeme mit YiShaAdmin inklusive Forks identifizieren und deren Versionen prüfen.
• Auf einen Build mit den Fix-Commits aktualisieren und sicherstellen, dass diese im produktiven Code enthalten sind.
• Das Admin-Panel bis zur Behebung nicht mehr aus dem Internet erreichbar machen.
• Webprotokolle auf Anfragen an /admin/File/DownloadFile mit Traversal-Sequenzen oder unerwarteten Löschungen prüfen.
• Falls eine Kompromittierung nicht ausgeschlossen werden kann, auf dem System gespeicherte Zugangsdaten und Secrets erneuern.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 025b062 (CVE-referenced) github.com
• Commit c3b66e6 github.com
• VulnCheck advisory www.vulncheck.com
• Nuclei detection template github.com
• Strix CVE summary www.strix.ai
• HOL Guard CVE page hol.org
• YiShaAdmin GitHub issue 178 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:56.