Pandora FMS: Unbeschränkter Datei-Upload führt zu Codeausführung im File Manager
Zusammenfassung
Pandora FMS ab Version 777 verwendet im Modul File Manager eine unvollständige Sperrliste für Dateiendungen. Ein authentifizierter Benutzer mit hohen Berechtigungen kann .phar-Dateien hochladen und ausführen, was eine beliebige Codeausführung auf dem Server ermöglicht. Der CVSS-4.0-Wert beträgt 8.6 (Hoch), und CISA SSVC stuft das Problem als nicht automatisierbar ein.
Betroffen
- Pandora FMS ab Version 777, gemäss CVE-Eintrag.
- Genaue betroffene 777.x-Builds: Unbekannt.
Behoben in
- Behoben in v800.5 und v805, gemäss CVE-Eintrag.
- Die Herstellerwarnung konnte nicht verifiziert werden, daher ist unbekannt, ob 777.x-LTS-Builds behoben sind.
Umgehung
- Keine bekannte Herstellerumgehung.
- Allgemeine Massnahmen für ähnliche Schwachstellen: Zugriff auf File Manager und Konsole auf Management-Netze oder VPN beschränken, Dienstkonten nach dem Least-Privilege-Prinzip betreiben, Logs auf verdächtige Uploads überwachen und WAF-Regeln für Datei-Uploads prüfen.
Ausnutzung
- Nicht als aktiv ausgenutzt gelistet (CISA KEV: Nein).
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Pandora-FMS-Instanzen ab Version 777 und deren genaue Builds erfassen.
- Auf v800.5 oder v805 bzw. die neueste behobene Version aktualisieren und mit der Herstellerwarnung abgleichen.
- Konsolenzugriff auf Management-Netze oder VPN beschränken sowie Admin-Konten und Passwörter überprüfen.
- Upload-Verzeichnisse des File Managers auf unerwartete .phar- oder Skriptdateien prüfen.
- Beim Patchen auch CVE-2026-64947 prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record source: Pandora FMS security page pandorafms.com
- strix.ai: CVE-2026-64949 www.strix.ai
- vulners.com: VULNRICHMENT CVE-2026-64949 vulners.com
- Pandora FMS patch notes 777.19 LTS pandorafms.com
- strix.ai: CVE-2026-64947 (related issue) www.strix.ai
- Armis: CVE-2023-24517 (similar File Manager upload flaw) cve.armis.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.