Progress MOVEit Transfer: LDAP-Injection bei zertifikatsbasierter Authentifizierung
Zusammenfassung
Das LDAP-Modul von Progress MOVEit Transfer neutralisiert Sonderzeichen in LDAP-Abfragen nicht ausreichend, was LDAP-Injection ermöglicht. Gemäss den CVE-Daten (CVSS 8.8, Vektor AV:N/AC:L/PR:L) könnte ein Angreifer aus dem Netzwerk mit einem Konto mit niedrigen Berechtigungen die Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen. Der CVE-Titel verbindet die Schwachstelle mit der zertifikatsbasierten Authentifizierung, was der Hersteller in den geprüften Quellen nicht bestätigt hat.
Betroffen
- MOVEit Transfer vor 2025.1.6
- MOVEit Transfer 2026.0.0 vor 2026.0.4
- Gemäss Herstellerbulletin sind auch 2025.0.8 und früher betroffen; diese Versionen sind nicht mehr supportet (anhand des vollständigen Advisory prüfen).
Behoben in
- Auf MOVEit Transfer 2025.1.6 oder 2026.0.4 (oder neuer) aktualisieren.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Übergangsmassnahme (Empfehlung von uns, nicht vom Hersteller): Zugriff auf die MOVEit-Webkomponenten und LDAP-seitigen Komponenten einschränken und die Berechtigungen der LDAP-Dienstkonten prüfen. Bei Progress anfragen, ob die zertifikatsbasierte Anmeldung vorübergehend deaktiviert werden kann.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA-SSVC-Daten im CVE-Eintrag: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden. Dies ist keine bestätigte Abwesenheit.
Unsere Empfehlung
- Prüfen, ob MOVEit Transfer aus dem Internet erreichbar ist und welche Version läuft.
- Bei Internetexposition und einer Version älter als 2025.1.6 oder 2026.0.4 prioritär patchen.
- Alle neun CVEs des Sicherheitsbulletins von Progress vom September 2026 in einem Wartungsfenster patchen.
- Berechtigungen der LDAP-Dienstkonten einschränken und Authentifizierungsprotokolle überwachen.
- Vendor-Advisory und CISA KEV auf Änderungen beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress MOVEit Transfer Critical Security Bulletin, September 2026 community.progress.com
- OpenCVE: CVE-2026-89071 app.opencve.io
- CISA Cybersecurity Advisory AA23-158A (MOVEit Transfer) www.cisa.gov
- Positive Technologies PT-2026-114323 vulners.com
- CyberPress: Multiple MOVEit Transfer flaws cyberpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.