9.8Kritisch
KEV
In Ransomware genutzt
CVE-2017-11357Telerik UI for ASP.NET AJAX Insecure Direct Object Reference Vulnerability
Bekannt ausgenutzt — Telerik UI for ASP.NET AJAX Insecure Direct Object Reference Vulnerability
CISA hat am 26.01.2023 bestätigt, dass diese Schwachstelle in echten Angriffen genutzt wird. Frist für US-Bundesbehörden: 16.02.2023.
Erforderliche Maßnahme: Apply updates per vendor instructions. https://docs.telerik.com/devtools/aspnet-ajax/knowledge-base/asyncupload-insecure-direct-object-reference; https://nvd.nist.gov/vuln/detail/CVE-2017-11357
Beschreibung
Progress Telerik UI for ASP.NET AJAX before R2 2017 SP2 does not properly restrict user input to RadAsyncUpload, which allows remote attackers to perform arbitrary file uploads or execute arbitrary code.
Schwachstellentyp (CWE):
CWE-434
Daten: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Wiedergegeben wie in der Quelle, auf Englisch.
Betroffene Produkte und Versionen
| Hersteller | Produkt | Versionen | |
|---|---|---|---|
| progress | telerik ui for asp.net ajax | < 2020.1.114 |
Referenzen und Patches
- 43874 exploitExploitThird Party AdvisoryVDB Entry
- http://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference MitigationVendor Advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-11357 US Government Resource
CPE-Treffer (NVD) (1)
cpe:2.3:a:progress:telerik_ui_for_asp.net_ajax:*:*:*:*:*:*:*:*< 2020.1.114