Progress WS_FTP Server: Path Traversal erlaubt Zugriff ausserhalb des delegierten Bereichs
Zusammenfassung
Eine Path-Traversal-Schwachstelle in Progress WS_FTP Server unter Windows erlaubt einem delegierten Host Administrator den Zugriff auf Speicherorte ausserhalb seines autorisierten Bereichs. Laut CNA könnte dies potenziell Remote Code Execution ermöglichen. Der Angreifer benötigt ein gültiges Host-Administrator-Konto, daher ist die Schwachstelle nicht ohne vorherige Authentifizierung ausnutzbar.
Betroffen
- Progress Software WS_FTP Server unter Windows, Versionen vor 2024.0.7 und vor 2025.0.4
- Unbekannt, ob andere Plattformen betroffen sind (CNA-Beschreibung beschränkt das Problem auf Windows)
Behoben in
- Aktualisierung auf 2024.0.7 oder 2025.0.4 (oder spätere Builds desselben Zweigs)
Umgehung
- Delegation der Host-Administrator-Rechte auf vertrauenswürdige Mitarbeitende beschränken
- Physische Pfade der virtuellen Ordner regelmässig prüfen, um sicherzustellen, dass sie im zugewiesenen Host-Stammverzeichnis bleiben
- Progress Software Technical Support für weitere Massnahmen kontaktieren (Herstellerhinweis; Zwischenmassnahmen nicht bestätigt)
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird (OffSeq-Stand; Strix gibt KEV mit Nein an, nicht gegen CISA bestätigt)
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
Unsere Empfehlung
- Alle WS_FTP-Server-Instanzen und deren Versionen jetzt inventarisieren
- Instanzen unter 2024.0.7 oder 2025.0.4 vorrangig aktualisieren
- Host-Administrator-Konten überprüfen und reduzieren; starke, nicht geteilte Passwörter und wo möglich MFA durchsetzen
- Prüfen, ob das Admin-Interface aus dem Internet erreichbar ist, und den Zugriff einschränken
- Herstellerhinweis sowie NVD/CISA auf Updates überwachen; die Schwesterschwachstellen CVE-2026-90868 und CVE-2026-90871 werden durch dieselben Builds behoben
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Progress Software advisory (CNA record) progress.lightning.force.com
- OffSeq threat radar: CVE-2026-90866 radar.offseq.com
- Strix: CVE-2026-90866 www.strix.ai
- VulDB: CVE-2026-90866 vuldb.com
- OffSeq threat radar: WS_FTP Server path traversal advisory radar.offseq.com
- Rapid7: Critical vulnerabilities in WS_FTP Server (2023) www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.