🟠 CVE-2026-59688: High Schwachstelle

„`html

Zusammenfassung

Eine OS Command Injection Schwachstelle in Progress Software Produkten ermöglicht authentifizierten Angreifern mit hohen Privilegien die Ausführung beliebiger Betriebssystembefehle. Die Vulnerabilität betrifft LoadMaster, ECS Connection Manager, Object Scale Connection Manager und MOVEit WAF mit einem CVSS-Wert von 8.4 (High).

Betroffene Systeme

• Progress Software LoadMaster (alle Versionen)
• ECS Connection Manager
• Object Scale Connection Manager
• MOVEit WAF

Angriffsvektor: Adjacent Network

Patch-Status: Nicht verfügbar

Technische Details

Die Vulnerability liegt in der Backup-Restore-Funktionalität der betroffenen Appliances. Durch unzureichende Input-Validierung können authentifizierte Nutzer mit administrativen Rechten OS-Kommandos in die Backup-Restore-Parameter einschleusen. Diese werden dann mit erhöhten Systemrechten ausgeführt, ohne vorherige Sanitization oder Validierung.

Die Schwachstelle ermöglicht:

• Arbitrary Command Execution mit Systemrechten
• Vollständige Systemkompromittierung
• Datenverlust oder -exfiltration
• Lateral Movement im Netzwerk

Empfohlene Massnahmen

• Sofort: Beschränkung des Zugriffs auf die Backup-Restore-Funktionen auf vertrauenswürdige Administratoren
• Aktivierung von Audit-Logging für Backup-Operationen
• Überwachung der Systemprotokolle auf verdächtige Befehlsausführungen
• Netzwerkisolation der betroffenen Appliances, falls möglich
• Regelmäßige Überprüfung von Backup-Integrität und Authentizität
• Warten auf offiziellen Security-Patch von Progress Software

Bewertung

CVSS 8.4 (High) – Die Kombination aus hohem Schweregrad, erforderlicher Authentifizierung und privilegiertem Kontext schränkt die Exploitierbarkeit ein. Jedoch ist eine vollständige Systemkompromittierung durch privilegierte Insider möglich. Der fehlende Patch erhöht das Risiko erheblich.

„`