ILIAS: Argument-Injection im Bild-Upload einer Map-Frage führt zu Codeausführung

Zusammenfassung

Die E-Learning-Plattform ILIAS in den Versionen 9.0 bis vor 9.24, 10.0 bis vor 10.12 und 11.0 bis vor 11.5 enthält eine Argument-Injection im Fragetyp Imagemap. Ein Benutzer mit Autorenrechten für Fragen kann eine Bilddatei mit manipulierten Dateinamen hochladen, deren Optionen an ImageMagick übergeben werden, da escapeshellcmd() sie nicht neutralisiert. Der Angreifer kann danach eine PHP-Datei im Web-Root schreiben und Code auf dem Server ausführen. Für den Angriff ist ein authentifiziertes Konto mit Autorenrechten nötig, ein anonymer Zugriff reicht nicht aus.

Betroffen

• ILIAS 9.0 bis vor 9.24
• ILIAS 10.0 bis vor 10.12
• ILIAS 11.0 bis vor 11.5
• Standardkonfiguration: laut CNA-Eintrag nicht betroffen

Behoben in

• ILIAS 9.24
• ILIAS 10.12
• ILIAS 11.5

Umgehung

• Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers gefunden.

Ausnutzung

• Nicht bekannt, ob in freier Wildbahn ausgenutzt. Der CVE-Tracker führt KEV: No.
• Kein öffentlicher Proof of Concept gefunden; Status unbekannt, nicht bestätigt abwesend.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• EPSS 0.00678 (Vulners).

Unsere Empfehlung

• Alle ILIAS-Instanzen identifizieren und die Versionen prüfen.
• Auf 9.24, 10.12 oder 11.5 aktualisieren; eine Instanz der Version 9.x benötigt möglicherweise ein Versions-Upgrade.
• Die Rolle des Fragenautors auf vertrauenswürdige Mitarbeitende beschränken und die Kontenliste prüfen.
• Bestehende Map-Fragen und Uploads auf unerwartete Dateien prüfen, zum Beispiel PHP-Dateien in Webverzeichnissen.
• Instanz und Datenbank vor dem Upgrade sichern.
• Instanzen mit Internetzugriff oder vielen Trainerkonten priorisieren.
• Die gleichen Releases beheben weitere Codeausführungslücken für authentifizierte Benutzer, ein Upgrade deckt sie also gemeinsam ab.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ILIAS security blog 9.24 (advisory 950) docu.ilias.de
• ILIAS security blog advisory 951 docu.ilias.de
• ILIAS security blog advisory 952 docu.ilias.de
• ILIAS fix commit github.com
• VulnCheck advisory www.vulncheck.com
• ILIAS release v9.24 github.com
• VulDB entry vuldb.com
• OSV entry osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:16.