CVE-2025-2749
Kentico Xperience Path Traversal Vulnerability
Beschreibung
CVE-2025-2749 ist eine Path Traversal Schwachstelle (CWE-22) in Kentico Xperience, einem .NET-basierten Enterprise Content Management System (CMS), das für digitale Experience-Plattformen und Unternehmenswebsites weit verbreitet eingesetzt wird. Der Fehler befindet sich in Kenticos Staging Sync Server Komponente, die Content-Synchronisation zwischen Xperience-Umgebungen verwaltet (z. B. von einer Staging-Umgebung zur Produktion). Ein authentifizierter Benutzer mit Zugriff auf den Staging Sync Server kann eine Synchronisationsanfrage erstellen, die beliebige Daten an Speicherorte außerhalb des vorgesehenen Upload-Verzeichnisses schreibt, indem er eine Path-Traversal-Sequenz (z. B. "../") in Dateipfad-Parametern einsetzt, was eine beliebige Datei-Schreib-Bedingung auf dem lokalen Dateisystem des Servers ermöglicht. Obwohl eine Authentifizierung erforderlich ist – was die unmittelbare Angreifer-Population reduziert – ist das beliebige Schreiben von Dateien auf einem Webserver-Dateisystem ein hochwirksames Primitiv, das häufig zu Remote Code Execution (RCE) führt, indem ausführbare Dateien, Anwendungskonfigurationen überschrieben oder Web-Shells in web-zugänglichen Verzeichnissen platziert werden. CISA hat CVE-2025-2749 am 20. April 2026 in den Known Exploited Vulnerabilities (KEV) Katalog aufgenommen, mit einem Behebungsfälligkeitsdatum am 4. Mai 2026. Der EPSS-Score beträgt 0,03024, was diese Schwachstelle im 86,7. Perzentil platziert – in den Top 15% aller CVEs nach vorhergesagter Ausnutzungswahrscheinlichkeit, ein besonders hohes Ranking, das trotz der Authentifizierungsanforderung aktives Angreifer-Interesse widerspiegelt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| kentico | xperience | <= 13.0.178 |
Referenzen
- https://devnet.kentico.com/download/hotfixes(Patch)
- https://labs.watchtowr.com/bypassing-authentication-like-its-the-90s-pre-auth-rce-chain-s-in-kentico-xperience-cms/(Exploit, Third Party Advisory)
- https://www.vulncheck.com/advisories/kentico-xperience-staging-media-file-upload-authenticated-rce(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-2749(US Government Resource)
Schwachstellentyp
CWE-22: Improper Limitation of a Pathname to a Restricted Directory (Path Traversal)
CWE-22, auch bekannt als Path Traversal oder Directory Traversal, tritt auf, wenn Software externe Eingaben verwendet, um einen Dateisystempfad zu konstruieren, der auf ein kontrolliertes Verzeichnis beschränkt sein sollte, es aber versäumt, spezielle Pfadelemente wie "../" (Punkt-Punkt-Schrägstrich) ordnungsgemäß zu neutralisieren. Ein Angreifer, der Dateinamen- oder Pfad-Parameter an eine Dateiverarbeitungsfunktion liefern kann, kann die vorgesehene Verzeichnisgrenze überschreiten und von beliebigen Dateisystemspeicherorten lesen oder dorthin schreiben. Schreibfähiges Path Traversal wird generell als schwerwiegender eingestuft als nur-lesender Traversal, da es Content-Injection, Konfigurationsmanipulation und in vielen Server-Umgebungen Remote Code Execution über Web-Shells oder das Überschreiben von Anwendungs-Binärdateien und Skripten ermöglicht.
Bei CVE-2025-2749 befindet sich die Path Traversal Schwachstelle im Staging Sync Server von Kentico Xperience, der Datei-Payloads von einer Staging-Umgebung akzeptieren und in designierte Synchronisationsverzeichnisse auf dem Zielserver schreiben soll. Der Staging Sync Server versäumt es, den vom Synchronisations-Client gelieferten Dateipfad vor der Durchführung des Schreibvorgangs zu kanonisieren oder zu validieren, wodurch eine Traversal-Sequenz die geschriebene Datei an einen beliebigen Pfad umleiten kann, der für den Betriebssystem-Account des Anwendungsprozesses erreichbar ist. Auf einem .NET IIS-gehosteten CMS hat die Anwendungs-Pool-Identität oft umfangreichen Schreibzugriff auf das Web-Root und Anwendungsverzeichnisse, was dieses Schreib-Primitiv besonders wirkungsvoll macht. Mehr erfahren: CWE-22 — Improper Limitation of a Pathname to a Restricted Directory
Auswirkungsanalyse
CVE-2025-2749 wurde mit dem Schweregrad MEDIUM-HIGH bewertet. Zum Zeitpunkt der Erstellung war kein formaler NVD CVSS-Score verfügbar; die folgende Analyse wurde kontextuell aus den Eigenschaften der Schwachstelle abgeleitet.
Attack Vector (Netzwerk): Der Kentico Xperience Staging Sync Server ist ein netzwerkzugänglicher Service-Endpunkt, typischerweise innerhalb interner Netzwerke oder Staging/Produktions-Infrastruktur exponiert. Die Ausnutzung erfolgt über HTTP/HTTPS.
Attack Complexity (Niedrig): Path Traversal Angriffe sind konzeptionell einfach und gut verstanden. Sobald ein Angreifer gültige Zugangsdaten besitzt und HTTP-Anfragen an den Staging Sync Server Endpunkt senden kann, erfordert die Ausnutzung nur die Erstellung einer Anfrage mit einem traversal-kodierten Pfad-Parameter. Es sind keine Race Conditions, Heap-Grooming oder komplexe Voraussetzungen erforderlich.
Privileges Required (Niedrig): Authentifizierung ist erforderlich, was die primäre Barriere zur Ausnutzung darstellt. Allerdings kann jeder authentifizierte Kentico Xperience Benutzer mit Staging-Berechtigungen die Schwachstelle ausnutzen. In Unternehmens-CMS-Deployments wird der Staging-Zugriff oft breit an Content-Redakteure, Entwickler und Agentur-Partner vergeben – was die potenzielle Angreifer-Population erheblich über Systemadministratoren hinaus erweitert.
User Interaction (Keine): Die Ausnutzung erfolgt vollständig angreifer-gesteuert nach der Authentifizierung.
Impact-Analyse — Confidentiality (Mittel): Obwohl beliebiges Datei-Schreiben keinen direkten Dateizugriff ermöglicht, kann eine über die Traversal platzierte Web-Shell anschließend vollständigen Dateisystem-Lesezugriff ermöglichen und Konfigurationsdateien, Verbindungsstrings und Zugangsdaten offenlegen.
Impact-Analyse — Integrity (Hoch): Die Fähigkeit, beliebige Dateien in das Server-Dateisystem zu schreiben, ist eine direkte Integritätsverletzung. Ein Angreifer kann Anwendungsdateien überschreiben, schädlichen Code in CMS-Templates injizieren oder die Konfiguration ändern, um den Zugriff zu persistieren.
Impact-Analyse — Availability (Mittel): Das Überschreiben kritischer Anwendungs- oder Systemdateien kann die CMS-Instanz unverfügbar machen.
Priorisierungsempfehlung: Der 86,7. Perzentil EPSS-Score und die KEV-Aufnahme machen dies trotz der Authentifizierungsanforderung zu einem hochprioritären Patch. Breite Staging-Zugriffserteilungen in Unternehmens-CMS-Umgebungen und der hohe Impact des beliebigen Datei-Schreibens rechtfertigen eine beschleunigte Behebung.
Exploit-Reifegrad
KEV-Aufnahme: CISA hat CVE-2025-2749 am 20. April 2026 in den Known Exploited Vulnerabilities Katalog aufgenommen, mit einem Behebungsfälligkeitsdatum am 4. Mai 2026. Die KEV-Aufnahme bestätigt, dass die Schwachstelle aktiv in freier Wildbahn ausgenutzt wurde, nicht nur dass sie theoretisch gefährlich ist.
EPSS-Kontext: Der EPSS-Score von 0,03024 (86,7. Perzentil) platziert CVE-2025-2749 in den Top 13% aller CVEs nach vorhergesagter Ausnutzungswahrscheinlichkeit. Für eine Schwachstelle, die eine Authentifizierung erfordert, ist dies ein besonders hohes Perzentil, was darauf hindeutet, dass entweder die Authentifizierungsbarriere in der Praxis leicht überwunden werden kann (z. B. Standard-Zugangsdaten, kompromittierte Konten oder schwache Zugangsdaten-Richtlinien in CMS-Umgebungen) oder dass die Ausnutzungstechnik unkompliziert und weit bekannt ist.
CMS-Ausnutzungstrends: Enterprise Content Management Systeme sind häufige Ziele für Web-Shell-Deployment, Datendiebstahl und Supply-Chain-Angriffe (Modifizierung öffentlich zugänglicher Web-Inhalte). Kentico Xperience wird von Organisationen in den Bereichen Gesundheitswesen, Finanzdienstleistungen und Regierung eingesetzt, was den Wert kompromittierter Instanzen für Spionage- und Ransomware-Akteure erhöht.
Ransomware: Zum Zeitpunkt der Erstellung wurde keine spezifische Ransomware-Kampagne CVE-2025-2749 öffentlich zugeschrieben. Beliebige Datei-Schreib-Primitive in Web-Anwendungen werden jedoch häufig von Ransomware-Vorläufer-Malware (Initial Access Broker) genutzt, um persistente Web-Shells zu etablieren, bevor der Zugriff an Ransomware-Affiliates weitergegeben wird.
Öffentlicher PoC: Zum 24. April 2026 wurde kein öffentlicher Proof-of-Concept Exploit bestätigt. Angesichts des 86,7. Perzentil EPSS und der KEV-Aufnahme ist private Ausnutzungs-Tooling wahrscheinlich bereits unter Bedrohungsakteuren im Umlauf.
Behebung
-
Die CISA KEV-Direktive einhalten. CISA schreibt die Behebung von CVE-2025-2749 bis zum 4. Mai 2026 vor. Federal Civilian Executive Branch Behörden müssen diese Frist einhalten; alle Organisationen, die Kentico Xperience verwenden, sollten sie als Best-Practice-Ziel übernehmen.
-
Den Kentico Xperience Patch anwenden. Kentico Xperience auf die Version upgraden, die CVE-2025-2749 behebt, wie im offiziellen Kentico Security Bulletin angegeben. Die Kentico-Dokumentation und das DevNet-Portal für den betroffenen Versionsbereich und Upgrade-Anweisungen konsultieren. Sicherstellen, dass sowohl Staging- als auch Produktionsumgebungs-Instanzen gepatcht sind.
-
Den Zugriff auf den Staging Sync Server einschränken. Als vorübergehende Maßnahme den Netzwerkzugriff auf den Staging Sync Server Endpunkt auf ausschließlich die IP-Adressen autorisierter Staging-Quellumgebungen beschränken. Firewall-Regeln oder IIS IP-Adress-Einschränkungen anwenden, um beliebige Clients daran zu hindern, den Synchronisations-Endpunkt zu erreichen. Wenn die Staging-Synchronisation nicht aktiv genutzt wird, den Staging Sync Server bis zur Patch-Anwendung deaktivieren.
-
Staging-Berechtigungen prüfen. Überprüfen, welche Benutzerkonten und Rollen Zugriff auf die Staging Sync Server Funktionalität haben. Das Prinzip der minimalen Rechte anwenden – Staging-Berechtigungen auf Benutzer einschränken, die diese tatsächlich für Content-Workflows benötigen. Staging-Zugriff aus allgemeinen Content-Redakteur-Rollen entfernen, wenn die Sync-Funktion nicht Teil ihres Workflows ist.
-
Auf Anzeichen einer Ausnutzung untersuchen. Webserver-Logs (IIS oder Kestrel) auf ungewöhnliche POST- oder PUT-Anfragen an den Staging Sync Server Endpunkt überprüfen, insbesondere solche, die "../" oder URL-kodierte Traversal-Sequenzen ("%2e%2e%2f", "%252e%252e%252f") enthalten. Das Web-Root und Anwendungsverzeichnisse auf unerwartete Dateien scannen, insbesondere .aspx- oder .ashx-Dateien an Speicherorten außerhalb normaler CMS-Deployment-Pfade, die auf abgelegte Web-Shells hinweisen können.
-
Die Anwendungspool-Identität härten. Sicherstellen, dass der Kentico Xperience Anwendungspool mit den minimalen Dateisystem-Berechtigungen läuft, die für den CMS-Betrieb erforderlich sind. Die Anwendungspool-Identität sollte keinen Schreibzugriff auf Verzeichnisse außerhalb des Anwendungs-Roots und designierter Upload/Temp-Ordner haben. Die Staging-Sync-Funktionalität unter einer separaten, weiter eingeschränkten Identität ausführen.
Technische Details
CVE-2025-2749 ist eine Path Traversal Schwachstelle (CWE-22) in der Staging Sync Server Komponente von Kentico Xperience, einem .NET-basierten Enterprise CMS auf Basis von ASP.NET.
Betroffene Komponente — Staging Sync Server: Kentico Xperience enthält ein Staging-Modul, das die Synchronisierung von Content, Objekten und Mediendateien zwischen CMS-Instanzen ermöglicht – typischerweise von einer Entwicklungs- oder Staging-Umgebung zur Produktion. Der Staging Sync Server ist der empfänger-seitige HTTP-Endpunkt, der Synchronisationsaufgaben vom Staging-Quellsystem akzeptiert. Jede Synchronisationsaufgabe kann Datei-Payloads enthalten, die in das Ziel-Dateisystem geschrieben werden sollen.
Root Cause — Path Traversal beim Datei-Schreiben: Die Schwachstelle entsteht durch eine unzureichende Validierung oder Kanonisierung des vom Synchronisations-Client gelieferten Dateipfads, bevor der Server den Dateisystem-Schreibvorgang durchführt. In einem korrekt implementierten Datei-Schreib-Handler sollte der Server: (1) den Dateinamen aus der Anfrage extrahieren, (2) ihn gegen das vorgesehene Basisverzeichnis auflösen, (3) den resultierenden Pfad kanonisieren und (4) überprüfen, ob der kanonische Pfad mit dem Basisverzeichnis beginnt. CVE-2025-2749 weist darauf hin, dass Schritt (3) oder (4) fehlt oder umgehbar ist, wodurch ein Pfad-Parameter, der "../"-Sequenzen enthält, an einen Speicherort außerhalb des vorgesehenen Staging-Upload-Verzeichnisses aufgelöst werden kann.
Angriffsmechanik: Ein authentifizierter Angreifer mit Staging-Berechtigungen sendet eine HTTP-Anfrage an den Staging Sync Server Endpunkt und liefert einen Datei-Payload sowie einen Pfad-Parameter, der z. B. als "../../wwwroot/webshell.aspx" oder einer äquivalenten URL-kodierten Form präpariert ist. Der Server löst den Pfad relativ zum Staging-Upload-Verzeichnis auf, ohne zu prüfen, ob der aufgelöste Pfad das Basisverzeichnis verlässt, und schreibt den Payload des Angreifers an den traversierten Speicherort. Wenn der traversierte Pfad in das Web-Root fällt, kann der Angreifer eine ASPX Web-Shell schreiben und sofort beliebigen server-seitigen Code ausführen, indem er die Shell über HTTP anfordert.
Plattform-Kontext: Kentico Xperience läuft auf ASP.NET (Framework oder Core) gehostet auf IIS oder Kestrel auf Windows Server. Die Anwendungspool-Identität in typischen IIS-Deployments hat oft umfangreichen Schreibzugriff auf den Web-Anwendungsverzeichnisbaum. Dies macht Path Traversal in das Web-Root zu einem praktikablen Weg zu Remote Code Execution, ohne zusätzliche Privileg-Eskalation auf dem Betriebssystem zu benötigen.
Häufig gestellte Fragen
Wird CVE-2025-2749 aktiv ausgenutzt?
Ja. CISA hat CVE-2025-2749 am 20. April 2026 in den KEV-Katalog aufgenommen, was aktive Ausnutzung in freier Wildbahn bestätigt. Organisationen, die Kentico Xperience mit aktiviertem Staging Sync Server betreiben, sollten dies als aktive Bedrohung behandeln und sofortiges Patchen und Zugriffseinschränkung priorisieren.
Welche Produkte sind betroffen?
Kentico Xperience (früher Kentico CMS), ein .NET-basiertes Enterprise Content Management System. Die Schwachstelle befindet sich speziell in der Staging Sync Server Komponente. Das offizielle Kentico Security Advisory für die genauen betroffenen Versionsnummern konsultieren.
Wie behebt man die Schwachstelle?
Kentico Xperience auf die im Kentico Security Bulletin angegebene gepatchte Version upgraden. Als vorübergehende Maßnahme den Netzwerkzugriff auf den Staging Sync Server Endpunkt auf vertrauenswürdige IP-Adressen einschränken und überprüfen, welche Benutzerkonten Staging-Berechtigungen besitzen. Webserver-Logs und das Anwendungs-Dateisystem auf Anzeichen von Web-Shell-Deployment untersuchen.
Wie schwerwiegend ist die Schwachstelle?
CVE-2025-2749 wird mit dem Schweregrad MEDIUM-HIGH bewertet. Eine Authentifizierung ist erforderlich, was die Exposition etwas einschränkt, aber der 86,7. Perzentil EPSS-Score und die KEV-Aufnahme weisen auf aktive, reale Ausnutzung hin. Die Fähigkeit, beliebige Dateien auf einen Webserver zu schreiben, ist ein hochwirksames Primitiv, das häufig zu Remote Code Execution über Web-Shell-Deployment führt, was diese Schwachstelle erheblich gefährlicher macht als ein typisches authentifiziertes Problem.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.