Area Species Management Research Program: Unbeschränkter Datei-Upload
Zusammenfassung
Das Area Species Management Research Program (ARMI) des U.S. Geological Survey akzeptiert jede hochgeladene Datei und speichert sie unter '/uploads/'. Ein authentifizierter Angreifer mit niedrigen Berechtigungen kann eine manipulierte PHP-Datei hochladen und auf dem Server ausführen, um Befehle auszuführen und deren Ausgabe zu lesen. Es ist keine Benutzerinteraktion nötig; der CVSS-4.0-Basiswert beträgt 8.7 (hoch).
Betroffen
- U.S. Geological Survey Area Species Management Research Program (ARMI), alle Versionen vor dem 2026-07-20
- Genaue Versionsnummern: unbekannt.
Behoben in
- Behoben am 2026-07-20 (ab diesem Datum nicht betroffen).
- Behobene Versionsnummer: unbekannt.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Allgemeine Empfehlung zu CWE-434: Für jeden Upload einen neuen, eindeutigen Dateinamen generieren statt den vom Benutzer gelieferten Namen zu verwenden.
- Erlaubte Dateitypen serverseitig einschränken und sicherstellen, dass hochgeladene Dateien vom Webserver nicht ausgeführt werden können.
Ausnutzung
- Eine Ausnutzung ist nicht bekannt.
- Zum Zeitpunkt der Recherche wurde weder ein öffentlicher Proof of Concept noch ein Eintrag im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- Falls Sie diese Anwendung betreiben, die Herstellerkorrektur vom 2026-07-20 oder neuer einspielen und die Version beim Hersteller bestätigen.
- Das CISA-CSAF-Advisory va-26-313-01 auf Details zur Behebung prüfen.
- Prüfen, dass Uploads nicht ausführbar sind und ausserhalb des Webroots oder ohne Ausführungsrechte gespeichert werden.
- Webserver-Logs auf unerwartete PHP-Dateien unter /uploads/ überwachen.
- Falls Sie diese Software nicht betreiben, ist ausser einer Prüfung Ihres Inventars keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (CISA as CNA) www.cve.org
- CISA CSAF advisory va-26-313-01 raw.githubusercontent.com
- OffSeq threat radar (exploitation status, CWE guidance) radar.offseq.com
- Strix (NVD status) www.strix.ai
- ThreatInt (description, CVSS) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 00:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.