H3C CVM: Unauthentifizierter beliebiger Dateiupload führt zu Codeausführung

Zusammenfassung

H3C CVM, die Cloud Virtualization Management-Komponente der H3C CAS Cloud-Plattform, weist eine Schwachstelle für beliebigen Dateiupload ohne Authentifizierung im Endpunkt /cas/fileUpload/upload auf. Der Parameter token schränkt Path Traversal und Dateityp nicht ein, daher kann ein entfernter Angreifer eine bösartige JSP-Datei in ein webzugängliches Verzeichnis schreiben und anschliessend aufrufen, um Code als Benutzer des Webservers auszuführen. Es ist keine Authentifizierung und keine Benutzerinteraktion nötig, der Angreifer benötigt jedoch Netzwerkzugriff auf die CVM-Verwaltungsschnittstelle. Die Shadowserver Foundation beobachtet seit dem 14. Oktober 2023 Ausnutzungsversuche.

Betroffen

• H3C CVM (Komponente von H3C CAS): betroffene Versionen unbekannt.
• Der CNA-Eintrag führt alle Versionen als betroffen auf; der Hersteller hat keinen genauen Versionsbereich bestätigt.

Behoben in

Unbekannt. Es wurde keine vom Hersteller bestätigte korrigierte Version gefunden. Die korrigierte Version beim Support von H3C beziehen.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Die Verwaltungsschnittstelle von CVM nicht ins Internet exponieren; Zugriff auf ein Management-VLAN oder ein VPN beschränken.
• Webzugängliche Verzeichnisse auf unerwartete JSP- oder Skriptdateien prüfen.

Ausnutzung

• Ausnutzung in freier Wildbahn gemeldet; die Shadowserver Foundation beobachtete Hinweise seit dem 14. Oktober 2023.
• Es wird von einer öffentlichen Ausnutzungsmöglichkeit ausgegangen: Ein Nuclei-Erkennungstemplate ist öffentlich verfügbar und ein CSDN-Beitrag wird referenziert; die Angaben zu öffentlichem Exploit-Code widersprechen sich.
• CISA SSVC: Exploit-PoC vorhanden, automatisierbar, totale technische Auswirkung.
• CISA KEV: laut einer Quelle nicht gelistet; auf cisa.gov zu überprüfen.

Unsere Empfehlung

• Prüfen, ob eine H3C CAS/CVM-Instanz existiert und ob sie von aussen erreichbar ist.
• Direkte Internetexposition von CVM sofort entfernen.
• Auf Kompromittierung prüfen: unbekannte JSP-Dateien in Webverzeichnissen, ungewöhnliche Aktivitäten des Webservers, unerwartete ausgehende Verbindungen.
• Die korrigierte Version beim Support von H3C beziehen und einspielen.
• Webprotokolle auf Anfragen an /cas/fileUpload/upload aus unbekannten Quellen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• VulnCheck advisory: H3C CVM unauthenticated file upload www.vulncheck.com
• Nuclei template: H3C CVM arbitrary file upload github.com
• H3C CAS CVM user manual www.h3c.com
• VulDB: CVE-2023-54405 vuldb.com
• OpenCVE: CVE-2023-54405 app.opencve.io
• Vulners: RAPID7:CVE-2023-54405 vulners.com
• CSDN blog write-up (CVE-2023-54405) blog.csdn.net
• Shadowserver vulnerable HTTP report www.shadowserver.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:35.