Inspur Haiyue HCM Cloud: Beliebiges Lesen von Dateien im Download-Endpunkt
Zusammenfassung
Inspur Haiyue HCM Cloud, eine cloudbasierte Plattform für Human Capital Management, enthält im Endpunkt /api/model_report/file/download eine Path-Traversal-Schwachstelle (CWE-22). Die Parameter index und ext werden nicht validiert, daher kann ein nicht authentifizierter Angreifer aus dem Netzwerk beliebige Dateien lesen, etwa /etc/passwd, Datenbankdateien der Anwendung und Systemkonfigurationsdateien. Es ist weder eine Authentifizierung noch eine Benutzerinteraktion erforderlich.
Betroffen
- Inspur Haiyue HCM Cloud, alle Versionen (der CVE-Eintrag nennt den Versionsbereich mit "*"; der Hersteller hat keine Versionsliste veröffentlicht)
Behoben in
Unbekannt. Es wurde keine Herstellerempfehlung oder fixe Version gefunden. Fragen Sie Inspur nach dem Korrekturstand für Ihre Version.
Umgehung
- Zugriff auf /api/model_report/file/download am Reverse Proxy oder WAF einschränken.
- Anfragen mit Path-Traversal-Mustern in den Parametern index und ext blockieren.
- Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
Ausnutzung
- Öffentlicher Proof of Concept: Eine Nuclei-Vorlage und ein Blogbeitrag mit einem Anfragebeispiel sind öffentlich verfügbar.
- CISA-SSVC-Bewertung: Ausnutzungsstatus 'poc', automatisierbar: ja.
- Erstbeobachtung durch Shadowserver: Die CVE-Beschreibung nennt den 04.11.2024, was im Widerspruch zum Veröffentlichungsdatum 2026 steht. Bei Shadowserver überprüfen.
- KEV-Status widersprüchlich; im CISA-KEV-Katalog nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob Inspur HCM Cloud im Einsatz ist, einschliesslich gehosteter oder SaaS-Instanzen, und den Betroffenheitsstatus beim Hersteller bestätigen.
- Bei Exposition den Endpunkt umgehend einschränken und die Herstellerkorrektur einspielen, sobald sie verfügbar ist.
- Web- und Proxy-Logs auf Traversal-artige Anfragen an die Download-Route prüfen.
- Bei vermuteter Ausnutzung davon ausgehen, dass Dateien offengelegt wurden, und auf dem Host gespeicherte Zugangsdaten und Geheimnisse rotieren.
- Hersteller und NVD auf eine Advisory und eine fixe Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CN-SEC: Inspur HCM Cloud download arbitrary file read PoC cn-sec.com
- Nuclei template: hcm-cloud-lfi github.com
- VulnCheck advisory: Inspur HCM Cloud arbitrary file read www.vulncheck.com
- OpenCVE: CVE-2024-58387 app.opencve.io
- Vulners VulnCheck enrichment: CVE-2024-58387 vulners.com
- VulDB: CVE-2024-58387 vuldb.com
- Red Packet Security: CVE-2024-58387 alert www.redpacketsecurity.com
- Inspur: HCM Cloud product page en.inspur.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 06:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.