„`html
Zusammenfassung
Eine kritische Sicherheitslücke wurde in perfree go-fastdfs-web bis zur Version 1.3.7 identifiziert. Die Schwachstelle ermöglicht Server-Side Request Forgery (SSRF) über die Installation Endpoint und wird mit einem CVSS-Score von 7.3 als High-Risk eingestuft. Ein funktionierender Exploit ist bereits öffentlich verfügbar.
Betroffene Systeme
Betroffen sind perfree go-fastdfs-web Installationen in der Version 1.3.7 und älteren Versionen. Der Hersteller wurde frühzeitig über die Sicherheitslücke informiert, hat jedoch nicht reagiert. Ein Patch steht derzeit nicht zur Verfügung.
Technische Details
Die Vulnerability befindet sich in der Funktion checkServer des Installation Endpoints unter dem Pfad /install/checkServer. Durch manipulierte Eingaben kann ein unauthentizierter Angreifer Anfragen im Kontext des Servers auslösen. Dies ermöglicht das Scannen interner Netzwerksegmente, das Zugreifen auf lokale Services oder das Durchführen von Port-Scanning-Aktivitäten.
Der Angriff wird remote ausgeführt und erfordert keine Authentifizierung. Die Installation Endpoint ist typischerweise während des Setups oder bei beibehaltener Aktivierung exponiert.
Empfohlene Massnahmen
- Sofortige Deaktivierung des Installation Endpoints nach Abschluss des Setups
- Netzwerk-Level Zugriffsbeschränkungen auf administrative Endpoints implementieren
- Web Application Firewall (WAF) Rules zur Filterung verdächtiger Anfragen einsetzen
- Regelmäßige Überwachung von Anfragen an
/install/*Endpoints - Migration zu alternativen, aktiv gewarteten Lösungen evaluieren
- Regelmäßige Sicherheitsaudits durchführen
Bewertung
Mit einem CVSS-Score von 7.3 und fehlender Herstellerunterstützung stellt diese Sicherheitslücke ein erhebliches Risiko dar. Die Verfügbarkeit eines öffentlichen Exploits erhöht die Angriffsgefahr. Prioritäre Maßnahmen zur Mitigierung sind notwendig.
„`