Risesoft-y9 Digital-Infrastructure: Path Traversal in storeFile erlaubt beliebiges Schreiben von Dateien

Zusammenfassung

Der Dateimanager-Microservice von Risesoft-y9 Digital-Infrastructure validiert die Parameter fullPath und fileName des Endpunkts storeFile (POST /rest/storeFile) nicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann Dateien an beliebige Orte schreiben, auf die der Dienstprozess Schreibzugriff hat, was durch Überschreiben von durch den Dienst beschreibbaren Dateien zu Codeausführung führen kann. Der Fehler ist im CVE-Eintrag als CWE-22 mit CVSS 4.0 8.8 eingestuft.

Betroffen

• Digital-Infrastructure 9.6.5 bis 9.6.11
• Genaue betroffene Spanne laut CNA: 9.6.5 bis 9.6.11 inklusive; der Forscher hat zusätzlich v9.6.7 und v9.6.11 bestätigt; ältere Versionen nicht geprüft

Behoben in

Unbekannt. Ein Fix-Commit (b9dddb7c) ist referenziert, die erste Release-Version mit diesem Commit ist jedoch nicht bestätigt.

Umgehung

• Vom Hersteller wurde keine Massnahme herausgegeben.
• Zugriff auf die /rest/-Pfade aus nicht vertrauenswürdigen Netzen sperren oder einschränken, z. B. per VPN oder über einen Reverse Proxy mit Allowlist.
• Schreibrechte des Dienstkontos auf das für die Anwendung Notwendige beschränken.

Ausnutzung

• Keine Hinweise auf aktive Ausnutzung gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• Öffentlicher Proof of Concept: nicht bestätigt.
• Automatisierbar: ja (CISA SSVC).
• EPSS: etwa 0,59 Prozent laut cvedetails.

Unsere Empfehlung

• Prüfen, ob eine Digital-Infrastructure-Instanz im Einsatz ist, auch auf Testsystemen und vom Hersteller gehosteten Instanzen.
• Falls eine Instanz aus dem Internet erreichbar ist, den Zugriff auf die /rest/-Pfade sofort einschränken.
• Sobald der Hersteller bestätigt, welche Version den Fix enthält, auf diese Version aktualisieren; bis dahin das System als exponiert betrachten.
• Anwendungs- und Konfigurationsverzeichnisse auf unerwartete neue oder geänderte Dateien prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record source: GitHub Y9FileController.java v9.6.11 github.com
• HackMD technical write-up on file manager path traversal hackmd.io
• VulnCheck advisory www.vulncheck.com
• OSV record CVE-2026-110116 osv.dev
• Strix CVE-2026-110116 www.strix.ai
• Digital-Infrastructure GitHub repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:06.