CVE-2025-47813
Wing FTP Server Information Disclosure Vulnerability
Beschreibung
CVE-2025-47813 ist eine Informationsoffenlegungs-Schwachstelle in Wing FTP Server. Die Schwachstelle liegt in der Seite loginok.html, die den vollstaendigen lokalen Installationspfad des Wing FTP Servers offenlegt, wenn ein Benutzer einen ueberlangen UID-Cookie-Wert uebergibt. Diese Pfadoffenlegung liefert Angreifern wertvolle Aufklaerungsinformationen fuer weitere Angriffe. Betroffen sind Wing FTP Server Versionen vor 7.4.4. Mit einem CVSS v3.1-Score von 4.3 (MEDIUM) und einem EPSS-Score von 21.4 % wird CVE-2025-47813 trotz der relativ niedrigen Schweregradbewertung aktiv ausgenutzt.
Die CISA hat CVE-2025-47813 am 16. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Maerz 2026.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| wftpserver | wing ftp server | < 7.4.4 |
Referenzen
- https://github.com/MrTuxracer/advisories/blob/master/CVEs/CVE-2025-47813.txt(Exploit, Third Party Advisory)
- https://www.rcesecurity.com/2025/06/what-the-null-wing-ftp-server-rce-cve-2025-47812/(Exploit, Third Party Advisory)
- https://www.wftpserver.com(Product)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2025-47813(US Government Resource)
Schwachstellentyp
CWE-209: Generation of Error Message Containing Sensitive Information
CVE-2025-47813 wird unter CWE-209 (Generation of Error Message Containing Sensitive Information) klassifiziert. Diese Schwaeche tritt auf, wenn eine Anwendung Fehlermeldungen oder Antworten generiert, die sensible Systeminformationen wie Dateipfade, Stack-Traces oder interne Konfigurationsdaten enthalten, die nicht fuer Benutzer sichtbar sein sollten.
Bei CVE-2025-47813 verarbeitet die loginok.html-Seite des Wing FTP Servers UID-Cookie-Werte ohne ordnungsgemaesse Laengenpruefung. Wenn ein ueberlanger UID-Cookie-Wert uebergeben wird, enthaelt die Serverantwort den vollstaendigen lokalen Dateisystempfad der Wing-FTP-Server-Installation. Diese Informationsoffenlegung verraet das Betriebssystem, die Verzeichnisstruktur und den Installationsort des Servers.
Mehr erfahren: CWE-209 — Generation of Error Message Containing Sensitive Information
Auswirkungsanalyse
CVE-2025-47813 traegt einen CVSS v3.1-Basisscore von 4.3 (MEDIUM) mit dem Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N. Der Angriff ist netzwerkbasiert mit niedriger Komplexitaet und erfordert niedrige Authentifizierung ohne Benutzerinteraktion. Der Scope ist Unchanged.
Vertraulichkeit (Low): Die Schwachstelle legt den vollstaendigen lokalen Installationspfad des Wing FTP Servers offen. Der offengelegte Pfad verraet den Betriebssystemtyp, den Laufwerksbuchstaben oder Mountpoint, Verzeichnisbenennungskonventionen und potenziell den Benutzernamen, unter dem der Dienst installiert ist. Diese Information ist wertvoll fuer Angreifer, die Path-Traversal-Angriffe, File-Inclusion-Attacken oder andere Schwachstellen planen, die Kenntnis absoluter Dateipfade erfordern.
Integritaet (None): Die Schwachstelle ermoeglicht keine Aenderung von Daten oder Systemkonfigurationen.
Verfuegbarkeit (None): Die Schwachstelle hat keine Auswirkung auf die Systemverfuegbarkeit.
Trotz des moderaten CVSS-Scores ist der EPSS-Score von 21.4 % bemerkenswert hoch fuer eine Informationsoffenlegungs-Schwachstelle. Die Pfadoffenlegung dient wahrscheinlich als Aufklaerungsschritt, der die Ausnutzung schwerwiegenderer Schwachstellen ermoeglicht.
Exploit-Reifegrad
CVE-2025-47813 weist eine ueberraschend hohe Exploit-Reife fuer eine Informationsoffenlegungs-Schwachstelle auf. Die CISA hat die Schwachstelle am 16. Maerz 2026 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 30. Maerz 2026. Der EPSS-Score von 21.4 % ist aussergewoehnlich hoch fuer eine MEDIUM-Schwachstelle und liegt deutlich ueber den meisten als CRITICAL bewerteten CVEs in Bezug auf die tatsaechliche Ausnutzungswahrscheinlichkeit.
Die Ausnutzungstechnik ist trivial: Ein authentifizierter Angreifer sendet lediglich eine Anfrage an loginok.html mit einem uebergrossen UID-Cookie-Wert und liest den offengelegten Installationspfad aus der Antwort. Diese Einfachheit in Kombination mit dem Wert der offengelegten Information fuer die Verkettung mit anderen Exploits erklaert die hohe Ausnutzungsrate.
Die Aufnahme in den KEV-Katalog trotz des niedrigen CVSS-Scores deutet darauf hin, dass diese Schwachstelle aktiv als Teil von Angriffsketten gegen Wing-FTP-Server-Installationen eingesetzt wird.
Behebung
-
Wing FTP Server auf Version 7.4.4 oder hoeher aktualisieren: Diese Version behebt die Informationsoffenlegung in loginok.html. Das Update sollte auf alle Wing-FTP-Server-Instanzen angewendet werden.
-
Zugang zum Web-Administrations-Interface einschraenken: Stellen Sie sicher, dass die webbasierte Verwaltungsoberflaeche nicht dem Internet ausgesetzt ist. Verwenden Sie Firewall-Regeln, um den Zugang auf vertrauenswuerdige Management-Netzwerke und IP-Adressen einzuschraenken.
-
Web Application Firewall (WAF) oder Reverse Proxy implementieren: Setzen Sie eine WAF vor dem Wing FTP Server ein, die Anfragen mit uebergrossen Cookie-Werten filtern kann. Konfigurieren Sie Regeln, die Anfragen mit Cookies jenseits vernuenftiger Groessenlimits ablehnen.
-
Server-Logs auf Ausnutzungsversuche pruefen: Durchsuchen Sie Webserver-Zugriffsprotokolle nach Anfragen an loginok.html mit ungewoehnlich grossen Cookie-Werten. Solche Anfragen koennen auf Aufklaerungsaktivitaeten hinweisen.
-
Wing-FTP-Server-Konfigurationen auf zusaetzliche Haertung ueberpruefen: Pruefen Sie Benutzerkonten, Zugriffsberechtigungen und aktivierte Funktionen. Deaktivieren Sie nicht benoetigte Dienste oder Funktionen.
-
Auf verkettete Angriffe ueberwachen: Da Pfadoffenlegung typischerweise ein Aufklaerungsschritt ist, untersuchen Sie alle Systeme, auf denen eine Ausnutzung von CVE-2025-47813 erkannt wurde, auf Anzeichen nachfolgender Angriffe.
Technische Details
CVE-2025-47813 ist eine Informationsoffenlegungs-Schwachstelle in Wing FTP Server in Versionen vor 7.4.4. Der CVSS v3.1-Vektor ist CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N mit einem Score von 4.3. Die Schwachstelle befindet sich in der loginok.html-Seite des Wing-FTP-Server-Web-Interface. Wenn ein authentifizierter Benutzer eine HTTP-Anfrage mit einem ueberlangen UID-Cookie-Wert sendet, versagt die Antwortverarbeitungslogik des Servers bei der ordnungsgemaessen Bereinigung der Fehlerausgabe und schliesst den vollstaendigen lokalen Dateisystempfad des Installationsverzeichnisses ein. Die Pfadoffenlegung tritt auf, weil die Fehlerbehandlungsroutine der Anwendung den Installationspfad in die Antwort einbindet, wenn sie den fehlerhaften Cookie verarbeitet. Dies verraet Informationen wie den Laufwerksbuchstaben (unter Windows), den vollstaendigen Verzeichnisbaum und den Installationsordnernamen.
Häufig gestellte Fragen
Wird CVE-2025-47813 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2025-47813 am 16. Maerz 2026 in den KEV-Katalog aufgenommen. Trotz des moderaten CVSS-Scores von 4.3 zeigt der EPSS-Score von 21.4 % eine sehr aktive Ausnutzung an, wahrscheinlich als Teil mehrstufiger Angriffsketten.
Welche Produkte sind von CVE-2025-47813 betroffen?
Wing FTP Server Versionen vor 7.4.4 sind betroffen. Die Schwachstelle befindet sich in der loginok.html-Seite des Web-Interface.
Wie behebe ich CVE-2025-47813?
Aktualisieren Sie Wing FTP Server auf Version 7.4.4 oder hoeher. Als zusaetzliche Massnahme beschraenken Sie den Zugang zum Web-Administrations-Interface auf vertrauenswuerdige Netzwerke.
Wie schwerwiegend ist CVE-2025-47813?
Obwohl der CVSS-Score von 4.3 (MEDIUM) eine begrenzte direkte Auswirkung widerspiegelt, zeigen der EPSS von 21.4 % und die KEV-Listung, dass diese Schwachstelle aktiv in Angriffsketten verwendet wird. Der offengelegte Installationspfad ermoeglicht es Angreifern, andere schwerwiegendere Schwachstellen gezielt auszunutzen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.