CVE-2024-1708
ConnectWise ScreenConnect Path Traversal Vulnerability
Beschreibung
CVE-2024-1708 ist eine Path-Traversal-Schwachstelle der Stufe HIGH in ConnectWise ScreenConnect, einer weit verbreiteten Remote-Support- und Fernzugriffs-Plattform, mit einem CVSS-3.1-Score von 8.4. Die Schwachstelle erlaubt einem authentifizierten Angreifer das Verlassen des vorgesehenen Verzeichnisses und damit beliebigen Dateizugriff sowie Remote Code Execution gegen ScreenConnect 23.9.7 und früher. CVE-2024-1708 wurde bekanntermaßen mit CVE-2024-1709 — einem Authentifizierungs-Bypass — verkettet, sodass der kombinierte Angriff zu einer unauthentifizierten Remote-Übernahme wird; die Storm-1175-Gruppe hat diese Kette für hochfrequente Medusa-Ransomware-Operationen weaponisiert. CISA hat CVE-2024-1708 am 28. April 2026 in den KEV-Katalog aufgenommen, mit Patch-Frist 12. Mai 2026, nachdem erneut Angriffe auf ungepatchte On-Premises-Server beobachtet wurden. Der EPSS-Score von 0.537 (98. Perzentil) signalisiert sehr aktive Ausnutzung.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| connectwise | screenconnect | < 23.9.8 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H
Referenzen
- https://www.connectwise.com/company/trust/security-bulletins/connectwise-screenconnect-23.9.8(Vendor Advisory)
- https://www.huntress.com/blog/a-catastrophe-for-control-understanding-the-screenconnect-authentication-bypass(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-1708(Third Party Advisory, US Government Resource)
- https://www.microsoft.com/en-us/security/blog/2026/04/06/storm-1175-focuses-gaze-on-vulnerable-web-facing-assets-in-high-tempo-medusa-ransomware-operations/(Technical Description)
Schwachstellentyp
CWE-22: Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Path Traversal ist eine Schwachstelle, die auftritt, wenn Software externe Eingaben verwendet, um einen Pfadnamen für eine Datei oder ein Verzeichnis unterhalb eines beschränkten Elternverzeichnisses zu konstruieren, ohne Sequenzen wie ../ zu neutralisieren, die den Pfad außerhalb dieses Verzeichnisses auflösen lassen. In ConnectWise ScreenConnect akzeptierte der verwundbare Code-Pfad während der Verarbeitung von Erweiterungen und Sub-Anwendungen vom Angreifer kontrollierte Dateinamen, ohne den resultierenden Dateisystempfad ausreichend einzuschränken — Dateien konnten so außerhalb des ScreenConnect-Anwendungsverzeichnisses geschrieben oder gelesen werden. In Kombination mit CVE-2024-1709 (Authentifizierungs-Bypass im SetupWizard-Endpunkt) kann ein unauthentifizierter Angreifer eine bösartige ASP.NET-Datei in den web-zugänglichen Pfad ablegen und Remote Code Execution unter dem ScreenConnect-Service-Konto auslösen.
Mehr erfahren: CWE-22 — Unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis ('Path Traversal')
Auswirkungsanalyse
CVE-2024-1708 hat einen CVSS-3.1-Score von 8.4 (HIGH) mit dem Vektor AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H — die Schwachstelle ist netzwerk-remote ausnutzbar bei niedriger Angriffskomplexität, erfordert für sich genommen jedoch eine privilegierte authentifizierte Sitzung. Die Komponente Scope:Changed ist bedeutsam: Eine erfolgreiche Ausnutzung kann Ressourcen außerhalb des ScreenConnect-Prozesses betreffen, einschließlich des darunter liegenden Server-Dateisystems sowie aller über die Plattform verwalteten Endpunkte. Vertraulichkeit, Integrität und Verfügbarkeit sind allesamt mit High bewertet, weil Path Traversal in ScreenConnect direkt in einen beliebigen Datei-Schreibvorgang übersetzt wird — ausreichend, um eine Web Shell abzulegen, Konfigurationsdaten zu ersetzen und in verwaltete Kunden-Umgebungen zu pivotieren. In realen Vorfällen verketteten Angreifer CVE-2024-1708 mit CVE-2024-1709, um die Authentifizierung vollständig zu umgehen und Ransomware-Payloads über das ScreenConnect-Agentennetzwerk auszuliefern — effektiv eine unauthentifizierte Remote Code Execution gegen eine hochsensible IT-Management-Oberfläche.
Exploit-Reifegrad
Öffentlicher Exploit-Code und detaillierte technische Analysen sind für CVE-2024-1708 verfügbar. Das Huntress-Team veröffentlichte eine umfassende technische Aufarbeitung — siehe "A Catastrophe for Control: Understanding the ScreenConnect Authentication Bypass" — inklusive Details zum verwundbaren Code-Pfad. CISA bestätigte aktive Ausnutzung durch Aufnahme in den KEV-Katalog am 28. April 2026, und Microsoft Threat Intelligence dokumentierte den Storm-1175-Akteur, der ScreenConnect bei hochfrequenten Medusa-Ransomware-Operationen noch im April 2026 missbrauchte (Microsoft Security Blog). Mit einem EPSS-Score von 0.537 (98. Perzentil) bewertet das Modell die Wahrscheinlichkeit weiterer Ausnutzung in den nächsten 30 Tagen als nahezu sicher; Verteidiger mit On-Premises-ScreenConnect sollten jede ungepatchte Instanz als bereits kompromittiert behandeln, bis das Gegenteil bewiesen ist.
Behebung
- Hersteller-Mitigationen anwenden. Aktualisieren Sie ConnectWise ScreenConnect auf Version 23.9.8 oder später; dieser Patch behebt sowohl CVE-2024-1708 als auch die verkettete CVE-2024-1709. Cloud-Kunden wurden automatisch gepatcht; On-Premises-Kunden müssen manuell aktualisieren — siehe das ConnectWise-Sicherheitsbulletin. Stellen Sie die Nutzung des Produkts ein, falls Mitigationen nicht möglich sind (gemäß CISA BOD 22-01).
- Server-Exposition einschränken. Platzieren Sie On-Premises-ScreenConnect-Server hinter einem VPN oder beschränken Sie den Zugriff auf bekannte administrative IP-Bereiche. SetupWizard, Login und Extension-Management-Endpunkte dürfen niemals aus beliebigen Internet-Quellen erreichbar sein.
- Indikatoren für Kompromittierung suchen. Überprüfen Sie das ScreenConnect-Installationsverzeichnis (in der Regel
C:\Program Files (x86)\ScreenConnect) auf unerwartete.aspx-,.ashx- oder Extension-Dateien, die nach dem Patch-Zyklus geändert wurden. Inspizieren Sie IIS-Logs auf Anfragen anSetupWizard.aspxund ungewöhnliche Extension-Upload-Pfade. Prüfen SieUser.xmlauf neu angelegte Admin-Konten. - Zugangsdaten rotieren und Agenten-Kompromittierung annehmen. Behandeln Sie alle im ScreenConnect-Server gespeicherten Zugangsdaten, API-Keys und Zertifikate (sowie alle erreichten Endpunkte) als potenziell offengelegt. Erzwingen Sie Passwort-Resets, rotieren Sie Sitzungs-Tokens und stellen Sie API-Keys neu aus.
- Langfristige Härtung gegen Path Traversal. Stellen Sie sicher, dass Webserver und Application Stacks Pfade vor dem Zugriff normalisieren, erzwingen Sie Least-Privilege-Dateisystem-Berechtigungen für das Service-Konto und deployen Sie WAF- oder Application-Layer-Regeln, die
..-Sequenzen in Datei-Parametern blockieren — siehe die CWE-22-Mitigationshinweise für weitere defensive Maßnahmen.
Technische Details
CVE-2024-1708 ist eine Path-Traversal-Schwachstelle (CWE-22) in ConnectWise ScreenConnect 23.9.7 und früher, freigelegt über die Extension- und Sub-Application-Handling-Logik der Anwendung. Der verwundbare Code konstruiert einen Dateisystempfad aus angreifer-beeinflussten Eingaben, ohne das Ergebnis gegen das ScreenConnect-Anwendungs-Root zu kanonisieren — ..-Segmente können so das vorgesehene Verzeichnis verlassen. Der CVSS-3.1-Vektor AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H spiegelt wider, dass die Anfrage über HTTP(S) bei niedriger Komplexität ausgeliefert wird, normalerweise jedoch eine authentifizierte administrative Sitzung erfordert — bis der Angreifer CVE-2024-1709 verkettet, um den SetupWizard-Authentifizierungs-Status zu fälschen und unauthentifiziert denselben Code-Pfad zu erreichen. Nach erfolgreicher Ausnutzung kann der Angreifer eine .aspx-Payload in ein web-zugängliches Verzeichnis (etwa das ScreenConnect-Web-Root oder App_Extensions) schreiben; IIS führt die Datei dann im Kontext des ScreenConnect-Service-Kontos aus, das standardmäßig weitreichende Kontrolle über den Host besitzt. Da ScreenConnect eine Remote-Management-Plattform ist, ist die Scope:Changed-Bewertung operativ relevant: Code Execution auf dem Server bietet eine Startrampe, um Befehle oder Dateien an jeden verbundenen Endpunkt zu liefern — exakt der Weg, über den Storm-1175 die Kette nutzte, um Medusa-Ransomware in verwalteten Umgebungen auszurollen.
Häufig gestellte Fragen
Wird CVE-2024-1708 aktiv ausgenutzt?
Ja. CISA hat CVE-2024-1708 am 28. April 2026 in den Known-Exploited-Vulnerabilities-Katalog aufgenommen, und Microsoft hat die ConnectWise-ScreenConnect-Kette mit dem Storm-1175-Akteur und Medusa-Ransomware-Operationen in 2026 verknüpft. Der EPSS-Score von 0.537 (98. Perzentil) zeigt anhaltende, weit verbreitete Ausnutzungsaktivität.
Welche Produkte sind von CVE-2024-1708 betroffen?
ConnectWise ScreenConnect Versionen 23.9.7 und früher sind verwundbar. Der Fix ist in ScreenConnect 23.9.8 enthalten. Cloud-gehostete Instanzen wurden automatisch aktualisiert; On-Premises-Bereitstellungen müssen manuell gepatcht werden.
Wie behebe ich CVE-2024-1708?
Aktualisieren Sie auf ScreenConnect 23.9.8 oder höher, beschränken Sie die Management-Schnittstellen auf vertrauenswürdige Netze, suchen Sie im Installationsverzeichnis nach Web Shells und nicht autorisierten Admin-Konten und rotieren Sie alle auf bzw. über den Server zugreifbaren Zugangsdaten und API-Keys.
Wie schwerwiegend ist CVE-2024-1708?
CVE-2024-1708 ist als HIGH eingestuft (CVSS-3.1-Score 8.4) mit voller High-Wirkung auf Vertraulichkeit, Integrität und Verfügbarkeit sowie Scope:Changed. Zusammen mit dem EPSS-98.-Perzentil-Score und bestätigter Ransomware-Nutzung in freier Wildbahn sollten Verteidiger jeden ungepatchten On-Premises-ScreenConnect-Server als kritisch zu behebende Priorität betrachten.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.