Progress Software WS_FTP Server: Rechteausweitung durch fehlende Berechtigungsprüfung
Zusammenfassung
Der WS_FTP Server unter Windows enthält in seiner Administrationsoberfläche eine fehlende Berechtigungsprüfung. Ein delegierter Host-Administrator kann seinen autorisierten Bereich überschreiten, was beliebige Befehlsausführung mit erhöhten Rechten und die vollständige Kompromittierung des darunterliegenden Servers ermöglichen kann. Der Angreifer benötigt ein gültiges Konto mit der delegierten Host-Administrator-Rolle, daher besteht das Risiko vor allem durch kompromittierte Admin-Konten, böswillige Insider oder die Verkettung mit einer anderen Schwachstelle.
Betroffen
- Progress Software WS_FTP Server unter Windows vor 2024.0.7
- Progress Software WS_FTP Server unter Windows vor 2025.0.4
Behoben in
- Aktualisierung auf 2024.0.7 oder neuer (Zweig 2024)
- Aktualisierung auf 2025.0.4 oder neuer (Zweig 2025)
Umgehung
- Für diese CVE ist kein Workaround dokumentiert; die Aktualisierung ist die einzige gemeldete Massnahme.
- Die Delegation der Host-Administrator-Rolle auf vertrauenswürdige Mitarbeitende beschränken.
- Bestehende Host-Administrator-Konten sowie deren Umfang und Berechtigungen überprüfen.
- Für Massnahmen den technischen Support von Progress Software kontaktieren.
Ausnutzung
- Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Hinweis: WS_FTP war 2023 stark im Visier von Angreifern, durch andere Schwachstellen (CVE-2023-40044, CVE-2023-42657).
Unsere Empfehlung
- WS_FTP Server unter Windows mit hoher Priorität auf 2024.0.7 oder 2025.0.4 (oder neuer) aktualisieren.
- Ebenfalls auf die neueste korrigierte Version aktualisieren, um weitere Progress-Korrekturen vom selben Tag abzudecken, insbesondere CVE-2026-84295 (CVSS 10.0, behoben in 2024.0.6 und 2025.0.3).
- Prüfen, ob die Administrationsoberfläche aus dem Internet erreichbar ist, und den Zugriff einschränken.
- Delegierte Host-Administrator-Konten überprüfen und reduzieren.
- Admin-Logs auf ungewöhnliche Konfigurationsänderungen oder Befehlsausführungen auf dem Server überwachen.
- NVD-Eintrag und CISA-KEV-Liste prüfen, da die CVE noch in der Analyse war.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress Software advisory progress.lightning.force.com
- VulDB vuldb.com
- OffSeq radar.offseq.com
- Strix www.strix.ai
- Security Online batch overview securityonline.info
- Wikipedia: WS_FTP en.wikipedia.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:10.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.