Tech Blog

Eine Schwachstelle in der RAGFlow-Engine ermöglicht Angreifern das Überschreiben beliebiger Dateien auf dem Server und damit das Erlangen von Remote-Code-Ausführung. Das Problem liegt in der unzureichenden Überprüfung von Dateinamen in ZIP-Archiven. Ein Patch ist bereits verfügbar.

Eine Schwachstelle in Ghost, einem Open-Source-Content-Management-System, ermöglicht es Angreifern, einen manipulierten Link zu erstellen, der JavaScript mit den Berechtigungen eines authentifizierten Nutzers ausführt. Dies kann zu einer Übernahme des Kontos führen. Betroffen sind Ghost-Versionen von 5.43.0 bis 5.12.04 sowie 6.0.0 bis 6.14.0 und Ghost Portal-Versionen von 2.29.1 bis 2.51.4 sowie 2.52.0 bis 2.57.0. Zur Behebung müssen Nutzer auf Ghost 5.121.0 oder später bzw. Ghost 6.15.0 oder später aktualisieren.

Die Meshtastic-Mesh-Netzwerklösung weist eine Authentifizierungslücke auf, da Knoten statt über ihren öffentlichen Schlüssel über eine aus der MAC-Adresse abgeleitete NodeID identifiziert werden. Angreifer können so den unverschlüsselten HAM-Modus ausnutzen, um gefälschte NodeInfo-Daten einzuschleusen und so die Vertraulichkeit und Authentizität der Kommunikation im Mesh-Netzwerk zu kompromittieren. Ein Patch ist in der neuesten Firmware-Version verfügbar.

Eine kritische Authentifizierungsumgehung in Fortinet-Produkten wie FortiAnalyzer, FortiManager und FortiOS ermöglicht es Angreifern mit einem FortiCloud-Konto, sich in andere Geräte einzuloggen, wenn die FortiCloud-SSO-Authentifizierung aktiviert ist. Betroffen sind Versionen von 7.0.0 bis 7.6.5. Ein Patch ist erforderlich, um die Lücke zu schließen.

Die Tar-Bibliothek für Node.js, node-tar, hat eine kritische Sicherheitslücke in Versionen vor 7.5.7. Angreifer können eine manipulierte Tar-Datei erstellen, die Pfadprüfungen umgeht und beliebige Dateien außerhalb des Extraktionsverzeichnisses anlegt. Das ermöglicht Dateisystem-Übergriffe. Mit der Version 7.5.7 wurde das Problem behoben.

Eine kritische Sicherheitslücke in der Dokploy-Plattform ermöglicht Angreifern mit Zugriff die Ausführung beliebiger Befehle auf dem Host-Server. Die Schwachstelle betrifft WebSocket-Endpunkte, die unsanitierte Eingabeparameter direkt in Shellbefehle übernehmen. Betroffen sind Versionen vor 0.26.6, die Entwickler haben das Problem in der aktuellen Version behoben.

Die Plattform als Service (PaaS) Dokploy enthält in Versionen vor 0.26.6 eine schwerwiegende Sicherheitslücke. Ein Hardcoded-Passwort in einem Installationsskript ermöglicht den Zugriff auf die Datenbank fast aller Dokploy-Installationen. Angreifer können so die Systeme kompromittieren. Nutzer sollten umgehend auf die Version 0.26.6 oder höher aktualisieren, um die Lücke zu schließen.

Das Open-Source-CMS DotNetNuke (früher DNN) wies vor Version 9.13.10 und 10.2.0 eine kritische Sicherheitslücke auf. Das Modul-Titel-Feld konnte Skripte enthalten, die in bestimmten Szenarien ausgeführt wurden. Die Versionen 9.13.10 und 10.2.0 beheben dieses Problem. Systemadministratoren sollten DotNetNuke-Installationen zeitnah auf den neuesten Stand bringen.

In älteren Versionen von SandboxJS, einer JavaScript-Sandbox-Bibliothek, wurde die `AsyncFunction`-Konstruktion nicht korrekt isoliert. Dadurch konnten Angreifer die Sandbox umgehen und Remote-Code-Execution auf dem Zielsystem ausführen. Glücklicherweise wurde die Lücke in Version 0.8.26 behoben. Sysadmins sollten dringend auf diese Patchversion aktualisieren, um ihre Systeme vor dieser kritischen Sicherheitslücke zu schützen.

In Grafana Enterprise, einer Open-Source-Plattform für Monitoring und Beobachtbarkeit, wurde eine kritische Sicherheitslücke (CVE-2022-24812) entdeckt. Bei aktivierter feingranularer Zugangskontrolle können Angreifer durch geschickte API-Schlüssel-Verwendung ihre Berechtigungen unrechtmäßig ausweiten. Der Patch ist dringend empfohlen, alternativ kann die Deaktivierung der feingranularen Zugangskontrolle das Problem umgehen.