ILIAS: Unbeschränkter Datei-Upload beim QTI-Import führt zu Remote Code Execution

Zusammenfassung

ILIAS, eine Open-Source-Lernplattform, enthält einen unbeschränkten Datei-Upload in der Bildverarbeitung beim QTI-Import von Fragen (ilQtiMatImageSecurity). Ein authentifizierter Benutzer mit Importrechten für Fragenpools kann ein präpariertes Archiv importieren, das eine .htaccess-Datei und eine PHP-Datei in das web-ausgelieferte Bildverzeichnis schreibt. Dies ermöglicht Remote Code Execution mit den Rechten des Webserver-Benutzers, mit vollem Zugriff auf den Server und seine Daten.

Betroffen

• ILIAS 5.2.8 bis vor 9.24 (untere Grenze gemäss CVE-Eintrag, nicht unabhängig bestätigt)
• ILIAS 10.0 bis vor 10.12
• ILIAS 11.0 bis vor 11.5

Behoben in

• ILIAS 9.24
• ILIAS 10.12
• ILIAS 11.5

Umgehung

Kein Workaround des Herstellers gefunden. Bis zur Aktualisierung:

• Importrechte für Fragenpools auf einen kleinen Kreis vertrauenswürdiger Mitarbeitender beschränken.
• Bildverzeichnisse des QTI-Imports auf unerwartete .htaccess- oder PHP-Dateien prüfen.
• Upload-Verzeichnisse auf dem Webserver, wo möglich, als nicht ausführbar konfigurieren.
• ILIAS-Logs auf kürzliche QTI-Importe von unbekannten Konten prüfen.

Ausnutzung

• Öffentlich bekannt: Eine Drittquelle behauptet, dass ein öffentlicher PoC existiert; der Inhalt wurde nicht verifiziert.
• VulDB führt den Status als 0-Day (öffentlich bekannt, nicht bestätigt ausgenutzt).
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog gelistet.
• EPSS 0.0064 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
• In freier Wildbahn: unbekannt. Keine verlässlichen Hinweise auf aktive Ausnutzung gefunden.

Unsere Empfehlung

• ILIAS so rasch wie möglich auf 9.24, 10.12 oder 11.5 aktualisieren; dies ist die wichtigste Massnahme.
• Falls ILIAS aus dem Internet erreichbar ist und Autoren oder Importierende nicht vollständig vertrauenswürdig sind, dringend behandeln.
• Importrechte für Fragenpools einschränken und vertrauenswürdige Konten überprüfen.
• Upload-Verzeichnisse auf unerwartete .htaccess- oder PHP-Dateien prüfen und Logs auf verdächtige QTI-Importe durchsehen.
• Betroffene Versionsgrenzen vor dem Rollout im Herstellerhinweis verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• ILIAS 9.24 Security Advisory docu.ilias.de
• ILIAS 10.12 Security Advisory docu.ilias.de
• ILIAS 11.5 Security Advisory docu.ilias.de
• VulnCheck advisory www.vulncheck.com
• Fix commit 47c8462 github.com
• Fix commit 58ee5b1 github.com
• Fix commit 5b20035 github.com
• VulDB entry vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:06.