CVE-2024-50623
Cleo Multiple Products Unrestricted File Upload Vulnerability
Beschreibung
CVE-2024-50623 ist eine kritische Schwachstelle fuer uneingeschraenkten Datei-Upload und -Download in den Cleo-Produkten Harmony, VLTrader und LexiCom vor Version 5.8.0.21. Die Schwachstelle ermoeglicht es entfernten, nicht authentifizierten Angreifern, beliebige Dateien hoch- und herunterzuladen, was zur Remote Code Execution (RCE) fuehren kann. Mit einem CVSS-Score von 9.8 (CRITICAL) und einem EPSS-Score von 94,01 % (99,9. Perzentil) stellt diese Schwachstelle eine akute Bedrohung dar. Die CISA hat CVE-2024-50623 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 3. Januar 2025. Die Schwachstelle wird aktiv von Ransomware-Gruppen ausgenutzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cleo | harmony | < 5.8.0.21 |
| cleo | lexicom | < 5.8.0.21 |
| cleo | vltrader | < 5.8.0.21 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
Schwachstellentyp
CWE-434: Unrestricted Upload of File with Dangerous Type
CWE-434 beschreibt eine Schwachstellenklasse, bei der eine Anwendung es Benutzern ermoeglicht, Dateien ohne angemessene Validierung des Dateityps hochzuladen. Im Fall von CVE-2024-50623 koennen Angreifer beliebige Dateien auf den Cleo-Server hochladen, einschliesslich ausfuehrbarer Dateien, die dann zur Remote Code Execution fuehren. Die fehlende Einschraenkung bei Datei-Uploads in den Cleo-Produkten ermoeglicht es Angreifern, Webshells oder Schadsoftware direkt auf dem Server zu platzieren. Mehr erfahren
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CWE-22 bezeichnet eine Schwachstelle, bei der eine Anwendung externe Eingaben zur Konstruktion von Dateipfaden verwendet, ohne diese ausreichend zu bereinigen. Dies ermoeglicht Angreifern den Zugriff auf Dateien ausserhalb des vorgesehenen Verzeichnisses. In Kombination mit der Upload-Schwachstelle koennen Angreifer Dateien in beliebige Verzeichnisse des Servers schreiben oder aus diesen lesen. Mehr erfahren
Auswirkungsanalyse
Vollstaendige Systemuebernahme: Die Schwachstelle ermoeglicht nicht authentifizierten Angreifern den uneingeschraenkten Upload und Download von Dateien auf Cleo-Servern. Durch das Hochladen ausfuehrbarer Dateien kann ein Angreifer beliebigen Code auf dem Server ausfuehren, was zur vollstaendigen Kompromittierung des Systems fuehrt. Vertraulichkeit (C:H) ist maximal betroffen, da saemtliche auf dem Server gespeicherten Daten, einschliesslich uebertragener Dateien und Konfigurationsdaten, ausgelesen werden koennen. Integritaet (I:H) ist ebenfalls maximal betroffen, da Angreifer beliebige Dateien manipulieren, Backdoors installieren oder Geschaeftsdaten veraendern koennen. Verfuegbarkeit (A:H) wird durch die moegliche Ausfuehrung von Ransomware oder destruktiver Schadsoftware bedroht.
Besondere Gefaehrdung von Managed-File-Transfer-Systemen: Cleo Harmony, VLTrader und LexiCom werden haeufig fuer den sicheren Austausch sensibler Geschaeftsdaten verwendet, darunter Finanzdaten, Gesundheitsdaten und personenbezogene Informationen. Eine Kompromittierung dieser Systeme kann zu erheblichen Datenschutzverletzungen und regulatorischen Konsequenzen fuehren.
EPSS und Ransomware: Der EPSS-Score von 94,01 % (99,9. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Die CISA hat die Schwachstelle als Ransomware-relevant (Known) eingestuft, was bedeutet, dass aktive Ransomware-Kampagnen diese Schwachstelle als Angriffsvektor nutzen.
Exploit-Reifegrad
CVE-2024-50623 weist eine sehr hohe Exploit-Reife auf und wird aktiv in freier Wildbahn ausgenutzt. Die Aufnahme in den KEV-Katalog der CISA mit der Frist zum 3. Januar 2025 unterstreicht die Dringlichkeit der Behebung.
EPSS-Kontext: Mit einem EPSS-Score von 94,01 % (99,9. Perzentil) gehoert CVE-2024-50623 zu den am haeufigsten ausgenutzten Schwachstellen ueberhaupt. Die triviale Ausnutzbarkeit ueber das Netzwerk ohne Authentifizierung macht sie besonders attraktiv fuer automatisierte Angriffe.
Ransomware-Verbindung: Die CISA klassifiziert die Ransomware-Nutzung als Known. Mehrere Ransomware-Gruppen haben Cleo-Schwachstellen aktiv in ihre Angriffsketten integriert. Die Kompromittierung von Managed-File-Transfer-Systemen ist ein bevorzugter Angriffsvektor, da diese Systeme Zugang zu grossen Mengen sensibler Geschaeftsdaten bieten.
Oeffentliche Dokumentation: Cleo hat ein Security Advisory veroeffentlicht, das die Schwachstelle bestaetigt und Patches bereitstellt.
Behebung
- Sofort auf Version 5.8.0.21 oder hoeher aktualisieren: Aktualisieren Sie alle Cleo-Produkte (Harmony, VLTrader, LexiCom) umgehend auf Version 5.8.0.21 oder neuer. Folgen Sie den Anweisungen im Cleo Security Advisory fuer die korrekte Update-Prozedur.
- Netzwerkzugriff einschraenken: Beschraenken Sie den Zugriff auf die Web-Management-Schnittstellen der Cleo-Produkte auf vertrauenswuerdige IP-Adressen. Stellen Sie sicher, dass die Server nicht direkt aus dem Internet erreichbar sind, sondern nur ueber VPN oder Firewall-geschuetzte Netzwerke.
- Systemintegritaet pruefen: Untersuchen Sie alle Cleo-Server auf Anzeichen einer Kompromittierung. Pruefen Sie insbesondere auf unbekannte Dateien in Upload-Verzeichnissen, verdaechtige Prozesse und ungewoehnliche Netzwerkverbindungen. Analysieren Sie die Protokolldateien auf ungewoehnliche Datei-Upload- oder Download-Aktivitaeten.
- Uebertragene Daten auf Exfiltration pruefen: Da die Schwachstelle auch den Download von Dateien ermoeglicht, sollten Sie pruefen, ob sensible Geschaeftsdaten abgeflossen sein koennten. Informieren Sie gegebenenfalls betroffene Partner und Aufsichtsbehoerden gemaess den geltenden Datenschutzvorschriften.
- Web Application Firewall (WAF) einsetzen: Implementieren Sie eine WAF vor den Cleo-Servern, die verdaechtige Datei-Upload-Anfragen und Path-Traversal-Versuche erkennt und blockiert, um zusaetzlichen Schutz waehrend der Update-Phase zu bieten.
Technische Details
Die Schwachstelle liegt in der fehlenden Einschraenkung von Datei-Upload- und Download-Operationen in den Cleo-Produkten Harmony, VLTrader und LexiCom. Die Web-Schnittstellen dieser Managed-File-Transfer-Loesungen validieren weder den Typ noch den Pfad von hochgeladenen Dateien ausreichend, wodurch Angreifer beliebige Dateien in beliebige Verzeichnisse des Servers schreiben koennen.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U), aber alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H). Der resultierende CVSS-Score von 9.8 spiegelt die triviale Ausnutzbarkeit und die maximalen Auswirkungen wider.
Angriffsmechanismus: Ein Angreifer sendet speziell praeparierte HTTP-Anfragen an die Web-Schnittstelle der Cleo-Software. Durch die fehlende Validierung kann der Angreifer zunaechst beliebige Dateien vom Server herunterladen, um Konfigurationsdaten und Zugangsinformationen zu erlangen. Anschliessend kann er ausfuehrbare Dateien hochladen, beispielsweise Webshells oder Reverse Shells, die dann auf dem Server mit den Rechten des Cleo-Dienstes ausgefuehrt werden. Die Kombination aus uneingeschraenktem Upload und Download macht diese Schwachstelle besonders verheerend.
Häufig gestellte Fragen
Welche Cleo-Produkte sind betroffen?
Betroffen sind Cleo Harmony, Cleo VLTrader und Cleo LexiCom in allen Versionen vor 5.8.0.21. Diese Produkte werden haeufig als Managed-File-Transfer-Loesungen in Unternehmen eingesetzt, um den sicheren Austausch von Geschaeftsdaten zwischen Partnern zu ermoeglichen.
Wird CVE-2024-50623 aktiv von Ransomware-Gruppen ausgenutzt?
Ja, die CISA hat die Schwachstelle als Ransomware-relevant (Known) eingestuft. Mehrere Ransomware-Gruppen nutzen Schwachstellen in Managed-File-Transfer-Loesungen gezielt aus, da diese Systeme Zugang zu grossen Mengen sensibler Geschaeftsdaten bieten und damit ideale Ziele fuer Erpressungsangriffe darstellen.
Wie kann ich pruefen, ob mein Cleo-System kompromittiert wurde?
Pruefen Sie die Protokolldateien der Cleo-Software auf ungewoehnliche Datei-Upload- und Download-Aktivitaeten, insbesondere von unbekannten IP-Adressen. Suchen Sie nach verdaechtigen Dateien in Upload-Verzeichnissen und pruefen Sie das System auf unbekannte Prozesse oder Netzwerkverbindungen. Ein forensischer Experte sollte bei Verdacht auf Kompromittierung hinzugezogen werden.
Reicht ein Update auf Version 5.8.0.21 aus?
Das Update schliesst die Schwachstelle, aber wenn das System bereits kompromittiert wurde, koennten Backdoors oder Schadsoftware installiert worden sein, die das Update ueberdauern. Daher ist neben dem Update eine gruendliche Untersuchung des Systems auf Kompromittierungsindikatoren unbedingt erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.