Flexera FlexNet Publisher: Remote Code Execution in lmadmin-Weboberfläche
Zusammenfassung
In der lmadmin-Weboberfläche von FlexNet Publisher, einer Lizenzverwaltungssoftware für Lizenzserver, besteht eine Remote Code Execution-Schwachstelle. Ein Angreifer mit hohen Privilegien auf der lmadmin-Oberfläche kann Code auf dem Server ausführen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der CVSS-Vektor setzt keine Benutzerinteraktion voraus, der Angreifer benötigt jedoch administrativen Zugriff auf die Oberfläche, weshalb die Erreichbarkeit der Weboberfläche das praktische Risiko bestimmt.
Betroffen
- FlexNet Publisher 2023 R1 (11.19.3.0) bis vor 2023 R2 (11.19.4.0)
- Versionen älter als 2023 R1: Unbekannt
- Der CVE-Eintrag nennt 'Revera FlexNet Publisher'; der Hersteller ist Flexera (heute Revenera)
- Produkte, die FlexNet Publisher enthalten, zum Beispiel PTC Creo, Mathcad und Windchill, können betroffen sein
Behoben in
- Auf FlexNet Publisher 2023 R2 (11.19.4.0) oder neuer aktualisieren
- Die aktuell unterstützte Version in der Flexera-Wissensdatenbank prüfen
Umgehung
- Kein Workaround des Herstellers gefunden.
- Bis zur Behebung die lmadmin-Weboberfläche auf ein Management-VLAN oder VPN beschränken und externe Zugriffe blockieren. Dies ist eine Übergangsmassnahme und nicht vom Hersteller bestätigt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden. PTC gibt an, keine Hinweise auf eine Ausnutzung der Schwachstelle zu haben.
- VulDB meldet keinen verfügbaren Exploit; dies ist eine Aussage eines Drittanbieters.
- Kein öffentlicher Proof of Concept gefunden. EPSS: 0.38 %.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Alle FlexNet-Publisher- und lmadmin-Instanzen inventarisieren, auch jene, die in anderer Software enthalten sind, und deren Versionen erfassen.
- Auf 11.19.4.0 oder neuer aktualisieren. Versionen 11.19.3.0 oder älter sowie unbekannte Versionen mit höherer Priorität behandeln.
- Die lmadmin-Weboberfläche auf interne Management-Netzwerke oder VPN beschränken und Internetzugriffe blockieren.
- lmadmin-Protokolle auf unerwartete Administrator-Anmeldungen oder unbekannte Vendor-Daemons prüfen.
- Bei Flexera oder dem Softwarehersteller nachfragen, ob ältere Versionen betroffen sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Flexera advisory: Remote code execution remediated in lmadmin community.flexera.com
- PTC support article cs394029 www.ptc.com
- NVD via Vulners vulners.com
- VulDB entry 428678 vuldb.com
- Revenera lmadmin licence server guide docs.revenera.com
- Strix CVE-2023-7357 tracker www.strix.ai
- CVE-2023-7357 threat intelligence record cve.threatint.com
- PSIRT CVE-2023-7357 psirt.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.