YouDataSum CPAS Audit Management System: Path Traversal über fileId in downPlugs

Zusammenfassung

Das CPAS Audit Management System V4 von YouDataSum enthält eine Path-Traversal-Schwachstelle im Parameter fileId des Endpunkts downPlugs. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit manipulierten GET-Anfragen mit ../-Sequenzen beliebige Dateien auf dem Server lesen, etwa /etc/passwd. Für die Ausnutzung sind weder Anmeldung noch Benutzerinteraktion nötig, und aus dem Internet erreichbare Instanzen sind am stärksten gefährdet. Ein öffentlicher Proof of Concept ist verfügbar.

Betroffen

• YouDataSum CPAS Audit Management System V4
• Genauer betroffener Build-Bereich: Unbekannt.

Behoben in

Unbekannt. Es wurde kein Herstellerfix oder keine Herstellerwarnung gefunden.

Umgehung

• Kein Workaround des Herstellers bestätigt.
• Den Zugriff auf die CPAS-Weboberfläche auf interne Netzwerke oder VPN beschränken und die direkte Internetexposition entfernen.
• Als Übergangslösung einen authentifizierenden Reverse Proxy oder eine WAF vor die Anwendung setzen und Anfragen an den downPlugs-Pfad blockieren.
• Die Anwendung mit einem Konto mit minimalen Rechten betreiben und den Dateisystem-Lesezugriff einschränken.

Ausnutzung

• Ein öffentlicher Proof of Concept und ein Nuclei-Template sind verfügbar.
• Die CISA SSVC stuft die Ausnutzung als poc ein und Automatisierbarkeit mit yes.
• Eine Beobachtung durch Shadowserver vom 2025-01-13 wird behauptet, ist aber unverifiziert.
• Widersprüchliche Angaben: Ein Aggregator führt einen VulnCheck-KEV-Eintrag, der nicht verifiziert werden konnte; die CISA-KEV-Liste enthält die CVE nicht.
• Von einer möglichen Ausnutzung ist auszugehen.

Unsere Empfehlung

• Prüfen, ob eine CPAS-V4-Instanz aus dem Internet erreichbar ist, und exponierte Instanzen als hohe Priorität behandeln.
• Die direkte Internetexposition entfernen oder den Zugriff auf VPN oder interne Netzwerke beschränken.
• Die oben genannten Übergangsmassnahmen umsetzen, bis YouDataSum einen Fix bestätigt; den Hersteller nach dem betroffenen Build-Bereich und einem Patch fragen.
• Webserver-Logs auf Anfragen an downPlugs mit ungewöhnlichen fileId-Werten prüfen und jeden Treffer als mögliche Kompromittierung behandeln, inklusive Offenlegung von Zugangsdaten.
• Den NVD-Eintrag und die Herstellerseite auf Aktualisierungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Proof of concept (GitHub, eeeeeeeeee-code) github.com
• Vulnerability reproduction write-up (GitHub, gelusus) github.com
• Nuclei template (ProjectDiscovery) github.com
• VulnCheck advisory www.vulncheck.com
• VulDB entry 425275 vuldb.com
• HOL Guard CVE entry hol.org
• Strix CVE entry www.strix.ai
• YouDataSum website www.youdatasum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:47.