Adobe Connect: Path Traversal ermöglicht beliebige Codeausführung
Zusammenfassung
Eine Path-Traversal-Schwachstelle (CWE-22) in Adobe Connect, einer Plattform für Webkonferenzen und E-Learning, kann ohne Benutzerinteraktion aus dem Netzwerk ausgenutzt werden. Ein Angreifer mit einem Konto mit niedrigen Privilegien kann auf Dateien ausserhalb des vorgesehenen Verzeichnisses zugreifen und erweiterten Zugriff oder die Kontrolle über das Benutzerkonto bzw. die Sitzung des Opfers erlangen; die Auswirkungen können über die Connect-Komponente hinausreichen (Scope geändert). Der CVSS-Basiswert beträgt 9.6 (Kritisch).
Betroffen
- Adobe Connect 12.12 und früher gemäss Bulletin APSB26-191 (Windows)
- Der CNA-Eintrag listet Adobe Connect 0 bis 12.11 als betroffen
- Gehostete und On-Premise-Installationen sind zu prüfen
Behoben in
- Adobe Connect 12.12.a (gemäss APSB26-191 für die Linie 12.12)
- Adobe Connect 12.11.i
- Adobe Connect 12.10.f
- Adobe Connect 12.9.a
- Adobe Connect 12.8.a
- Die Zuordnung dieser CVE zu diesen Builds ist in APSB26-191 zu bestätigen, bevor sie erfasst wird
Umgehung
Unbekannt. Für diese CVE ist keine Workaround-Massnahme dokumentiert.
Ausnutzung
- Adobe sind keine Exploits in freier Wildbahn für die Schwachstellen in APSB26-191 bekannt.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Angriffsvektor: Netzwerk, keine Benutzerinteraktion, niedrige Privilegien erforderlich.
Unsere Empfehlung
- Alle Adobe-Connect-Instanzen inventarisieren, einschliesslich gehosteter und On-Premise-Installationen, und prüfen, ob sie aus dem Internet erreichbar sind.
- Den korrigierten Build aus APSB26-191 vorrangig installieren, On-Premise-Installationen zuerst.
- Konten mit niedrigen Privilegien (registrierte, Gast- und Meeting-Benutzer) prüfen und nicht benötigte entfernen.
- Den Netzwerkzugriff auf den Connect-Server während der Aktualisierung einschränken.
- Logs auf ungewöhnliche Dateizugriffe und Kontoaktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- CVE Record CVE-2026-121349 www.cve.org
- Adobe Connect release notes helpx.adobe.com
- Zero Day Initiative: November 2026 security update review www.zerodayinitiative.com
- OffSeq Radar: CVE-2026-121349 radar.offseq.com
- Strix: CVE-2026-121349 (third party) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.