CVE-2025-25181
Advantive VeraCore SQL Injection Vulnerability
Beschreibung
CVE-2025-25181 ist eine SQL Injection-Schwachstelle in Advantive VeraCore, einer Warehouse Management- und Fulfillment-Plattform. Ein nicht authentifizierter Angreifer kann ueber den Parameter PmSess1 in der Datei timeoutWarning.asp beliebige SQL-Befehle auf der Datenbank ausfuehren. Die Schwachstelle wird mit einem CVSS v3.1-Score von 5.8 (MITTEL) bewertet.
Die CISA hat CVE-2025-25181 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 31. Maerz 2025. Der EPSS-Score von 79,71 % (99. Perzentil) ist fuer eine MEDIUM-Schwachstelle ausserordentlich hoch und zeigt intensive Ausnutzung. Die Schwachstelle wird von der XE Group zusammen mit CVE-2024-57968 (Unrestricted File Upload) als Angriffskette gegen VeraCore-Instanzen eingesetzt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| advantive | veracore | < 2025.1.1.3 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- https://advantive.my.site.com/support/s/knowledge(Product, Release Notes)
- https://intezer.com/blog/research/xe-group-exploiting-zero-days/(Exploit, Technical Description, Third Party Advisory)
- https://www.solissecurity.com/en-us/insights/xe-group-from-credit-card-skimming-to-exploiting-zero-days/(Exploit, Technical Description, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-25181(US Government Resource)
Schwachstellentyp
CWE-89: SQL Injection
CVE-2025-25181 basiert auf CWE-89 (SQL Injection), einer der am weitesten verbreiteten und gefaehrlichsten Schwachstellenklassen in Webanwendungen. Bei SQL Injection werden Benutzereingaben ohne ausreichende Bereinigung in SQL-Abfragen eingebettet, sodass ein Angreifer die Struktur der Abfrage veraendern und beliebige Datenbankbefehle ausfuehren kann. In VeraCore ist der Parameter PmSess1 in timeoutWarning.asp anfaellig fuer diese Art von Angriff.
Weitere Informationen: CWE-89 -- SQL Injection
Auswirkungsanalyse
Die Auswirkungen von CVE-2025-25181 betreffen primaer die Vertraulichkeit der in VeraCore gespeicherten Daten. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N) zeigt eine aus dem Netzwerk ausnutzbare Schwachstelle ohne Authentifizierung und ohne Benutzerinteraktion bei niedriger Komplexitaet. Der geaenderte Scope (S:C) bedeutet, dass die Auswirkungen ueber die VeraCore-Anwendung hinausgehen koennen. Die Vertraulichkeitsauswirkung ist als niedrig eingestuft, was den CVSS-Score von 5.8 erklaert. Trotz des moderaten CVSS-Scores ist die Schwachstelle praktisch deutlich gefaehrlicher: SQL Injection kann in Kombination mit der File Upload-Schwachstelle CVE-2024-57968 zur vollstaendigen Kompromittierung des Systems fuehren. Der ausserordentlich hohe EPSS-Score von 79,71 % (99. Perzentil) bestaetigt, dass die Schwachstelle trotz des moderaten CVSS-Scores intensiv angegriffen wird.
Exploit-Reifegrad
CVE-2025-25181 weist eine sehr hohe Exploit-Reife auf. Die CISA hat die Schwachstelle als aktiv ausgenutzt in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 31. Maerz 2025. Die Schwachstelle wird von der XE Group aktiv als Teil einer Angriffskette ausgenutzt, wie in detaillierten Analysen von Intezer und Solis Security dokumentiert. Der EPSS-Score von 79,71 % (99. Perzentil) ist fuer eine MEDIUM-Schwachstelle ausserordentlich hoch. Die SQL Injection dient der XE Group als initialer Vektor fuer Aufklaerung und Datenextraktion, waehrend CVE-2024-57968 fuer die Persistenz durch Webshell-Upload genutzt wird. Der Ransomware-Status ist als Unknown klassifiziert.
Behebung
-
Advantive VeraCore aktualisieren: Aktualisieren Sie auf VeraCore Version 2025.1.1.3 oder hoeher. Die Sicherheitsupdates sind ueber die Advantive Knowledge Base verfuegbar.
-
Eingabevalidierung verstaerken: Implementieren Sie parametrisierte Abfragen (Prepared Statements) fuer alle Datenbankzugriffe. Stellen Sie sicher, dass der PmSess1-Parameter und alle anderen Benutzereingaben serverseitig validiert und bereinigt werden.
-
Web Application Firewall einsetzen: Konfigurieren Sie eine WAF mit SQL Injection-Erkennungsregeln vor der VeraCore-Instanz. Blockieren Sie verdaechtige Anfragen an timeoutWarning.asp mit ungewoehnlichen PmSess1-Werten.
-
Datenbankzugriffe auditieren: Pruefen Sie die Datenbankprotokolle auf verdaechtige Abfragen, insbesondere auf UNION-basierte Injection-Muster, zeitbasierte Blind-SQLi-Versuche und Zugriffe auf Systemtabellen.
-
Verwandte Schwachstelle gemeinsam beheben: CVE-2025-25181 wird von der XE Group zusammen mit CVE-2024-57968 (Unrestricted File Upload) ausgenutzt. Beide Schwachstellen muessen behoben werden, um die Angriffskette vollstaendig zu unterbrechen.
Technische Details
CVE-2025-25181 betrifft Advantive VeraCore in Versionen bis einschliesslich 2025.1.0. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N zeigt eine netzwerkbasierte Schwachstelle ohne Authentifizierung mit geaendertem Scope. Die SQL Injection liegt im Parameter PmSess1 der Datei timeoutWarning.asp, die fuer die Session-Timeout-Warnung zustaendig ist. Der Parameter wird ohne ausreichende Bereinigung direkt in SQL-Abfragen eingebettet.
Ein Angreifer kann ueber manipulierte HTTP-Anfragen beliebige SQL-Befehle an die darunterliegende Datenbank senden. Die CVSS-Bewertung mit niedriger Vertraulichkeitsauswirkung (C:L) deutet darauf hin, dass der direkte Informationszugriff ueber diese spezifische Injection begrenzt ist, moeglicherweise durch Datenbankberechtigungen oder den Kontext der Abfrage. Praktisch wird die SQL Injection jedoch als Aufklaerungswerkzeug genutzt, um Datenbankstrukturen, Benutzerdaten und Konfigurationsinformationen zu extrahieren, die dann fuer weitergehende Angriffe ueber CVE-2024-57968 verwendet werden. Der Scope-Wechsel (S:C) reflektiert die Moeglichkeit, ueber die Datenbank hinaus auf andere Systemkomponenten einzuwirken.
Häufig gestellte Fragen
Wird CVE-2025-25181 aktiv ausgenutzt?
Ja, die CISA hat CVE-2025-25181 in den KEV-Katalog aufgenommen. Die Schwachstelle wird aktiv von der XE Group als Teil einer Angriffskette gegen VeraCore-Instanzen eingesetzt. Der EPSS-Score von 79,71 % im 99. Perzentil bestaetigt die intensive Ausnutzung.
Welche Produkte sind von CVE-2025-25181 betroffen?
Betroffen ist Advantive VeraCore in Versionen bis einschliesslich 2025.1.0. Die Schwachstelle wurde in Version 2025.1.1.3 behoben. VeraCore wird als Warehouse Management- und Fulfillment-Plattform in der Logistikbranche eingesetzt.
Wie haengt CVE-2025-25181 mit CVE-2024-57968 zusammen?
Beide Schwachstellen betreffen Advantive VeraCore und werden von der XE Group als Angriffskette genutzt. CVE-2025-25181 (SQL Injection) dient der initialen Aufklaerung und Datenextraktion, waehrend CVE-2024-57968 (File Upload) fuer das Platzieren von Webshells zur Persistenz genutzt wird.
Wie schwerwiegend ist CVE-2025-25181?
Obwohl der CVSS-Score von 5.8 (MEDIUM) moderat erscheint, zeigt der EPSS-Score im 99. Perzentil, dass die Schwachstelle zu den am intensivsten ausgenutzten weltweit gehoert. In Kombination mit CVE-2024-57968 ermoeglicht sie die vollstaendige Kompromittierung von VeraCore-Instanzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.