Adobe Connect: Path Traversal führt zum Lesen beliebiger Dateien
Zusammenfassung
Adobe Connect enthält eine Path-Traversal-Schwachstelle (CWE-22), die einem Angreifer aus dem Netzwerk ohne Authentifizierung erlaubt, Dateien und Verzeichnisse ausserhalb des vorgesehenen Bereichs zu lesen. Es ist keine Benutzerinteraktion nötig und der Scope wird verändert, daher kann die Auswirkung über die Connect-Anwendung hinausgehen. Der CVSS-Basiswert beträgt 10.0 (Critical). Adobe behandelt das Problem im Sicherheitsbulletin APSB26-191 für Adobe Connect unter Windows.
Betroffen
- Adobe Connect 12.12 und älter (Windows), gemäss Adobe APSB26-191
- CVE-Eintrag: betroffen 0 bis <= 12.8, 0 bis <= 12.9, 0 bis <= 12.10, 0 bis <= 12.11, 0 bis <= 12.12
Behoben in
- Adobe Connect 12.8.a
- Adobe Connect 12.9.a
- Adobe Connect 12.10.f
- Adobe Connect 12.11.i
- Adobe Connect 12.12.a
Die korrigierte Version hängt vom installierten Release-Zweig ab (Windows).
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Direkte Erreichbarkeit des Connect-Servers aus dem Internet entfernen, bis der Patch installiert ist.
- Zugriff über ein VPN oder einen zugriffskontrollierten Reverse Proxy beschränken.
- Zugriff auf Administrations- und Dateipfade einschränken.
Ausnutzung
- Adobe sind keine Exploits in freier Wildbahn für dieses Update bekannt (APSB26-191).
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob ein Adobe-Connect-Server aus dem Internet erreichbar ist, und diese Exponierung entfernen.
- Das Update aus APSB26-191 prioritär installieren. Das Bulletin enthält weitere Critical- und High-Schwachstellen, daher das gesamte Bulletin patchen.
- Bis zur Installation den Zugriff beschränken und die Logs auf ungewöhnliche Dateiabfragen prüfen.
- Den CISA-KEV-Katalog und öffentliche Proof-of-Concept-Quellen in den kommenden Tagen erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Adobe Security Bulletin APSB26-191 www.adobe.com
- Radar Offseq: CVE-2026-121351 radar.offseq.com
- ZDI: The November 2026 Security Update Review www.zerodayinitiative.com
- Adobe Security Bulletin APSB26-150 (previous Connect bulletin) helpx.adobe.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.