{"id":293209,"date":"2024-03-11T12:41:57","date_gmt":"2024-03-11T11:41:57","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=293209"},"modified":"2024-03-11T12:41:57","modified_gmt":"2024-03-11T11:41:57","slug":"kritische-schwachstelle-cve-2024-1403-in-progress-openedge-authentication-gateway-adminserver-poc-ffentlich","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2024\/03\/11\/kritische-schwachstelle-cve-2024-1403-in-progress-openedge-authentication-gateway-adminserver-poc-ffentlich\/","title":{"rendered":"Kritische Schwachstelle (CVE-2024-1403) in Progress OpenEdge Authentication Gateway\/AdminServer – PoC öffentlich"},"content":{"rendered":"

\"Sicherheit[English]Setzt jemand aus der Leserschaft Progress OpenEdge, entweder als Authentication Gateway oder AdminServer ein? Es gibt eine kritische Schwachstelle (CVE-2024-1403) in diesem Produkt (CVSS 10.0), die die Umgehung der Authentifizierung erm\u00f6glicht. Nun ist ein Exploit zur Ausnutzung dieser Schwachstelle bekannt geworden. Daher ist dringend eine Sicherheitsaktualisierung der Produkte angeraten, um diese Schwachstelle zu schlie\u00dfen.<\/p>\n

<\/p>\n

Was ist Progress OpenEdge?<\/h2>\n

\"\"Ich musste selbst im Internet nachschauen – die Progress Software Corp.<\/a> ist ein US-Unternehmen mit Sitz in Bedford, Massachusetts, welches Applikations-Infrastruktur-Software f\u00fcr die Entwicklung, die Integration und das Management von Gesch\u00e4ftsanwendungen anbietet. Es gib eine deutsche Tochter Progress Software GmbH<\/i> mit Sitz in K\u00f6ln. Hier ein Link<\/a> auf deren Infomaterial-Seite. <\/p>\n

Zu den wichtigsten Produkten z\u00e4hlen ein Datenbanksystem und eine in das DBMS integrierte Programmiersprache der vierten Generation. Die aktuelle Produktlinie hei\u00dft Progress OpenEdge<\/i>. Weltweit sollen nach Angaben des Unternehmens 3 Millionen Anwender in 60.000 Unternehmen Software-Anwendungen einsetzen, die auf Progress-Technologie basieren. Der gesamte Umsatz einschlie\u00dflich Anwendungen und Dienstleistungen des Anbieters betrage \u00fcber 5 Milliarden US-Dollar, hei\u00dft es in der Wikipedia. <\/p>\n

In der Wikipedia hei\u00dft es, dass Progress durch Firmenzuk\u00e4ufe auch Inhaber der Produkte von Telerik (seit 2014), Ipswitch (Anbieter der Daten\u00fcbertragungsl\u00f6sungen MOVEit Transfer und MOVEit Cloud), Chef, Kemp (Anbieter eines Load Balancers f\u00fcr HTTP\/S, Exchange, S4B, IIS, Apache), Flowmon, MarkLogic und Semaphore wurde. Gerade MOVEit Transfer war ja 2023 f\u00fcr gravierende Schwachstellen mit Datenl\u00fccken aufgefallen. <\/p>\n

Progress OpenEdge Schwachstelle CVE-2024-1403<\/h2>\n<\/p>\n

In Progress OpenEdge<\/a> ist zum 27. Februar 2024 die Schwachstelle CVE-2024-1403<\/a> \u00f6ffentlich geworden. Im OpenEdge Authentication Gateway und AdminServer vor 11.7.19, 12.2.14, 12.8.1 wurde auf allen vom OpenEdge-Produkt unterst\u00fctzten Plattformen eine Sicherheitsl\u00fccke entdeckt. Die Schwachstelle CVE-2024-1403 erm\u00f6glicht die Umgehung der Authentifizierung und hat einen CVSS 3.1-Index von 10.0 erhalten.  Die Schwachstelle zur Umgehung der Authentifizierung beruht auf einem Fehler bei der ordnungsgem\u00e4\u00dfen Verarbeitung von Benutzername und Passwort. Bestimmte unerwartete Inhalte, die in die Anmeldeinformationen eingegeben werden, k\u00f6nnen ohne ordnungsgem\u00e4\u00dfe Authentifizierung zu unberechtigtem Zugriff f\u00fchren.<\/p>\n

Progress hat in der Community den Eintrag Important Security Update for OpenEdge Authentication Gateway and AdminServer<\/a> dazu ver\u00f6ffentlicht und schreibt, dass alle unterst\u00fctzten OpenEdge-Releases betroffen seien. Das schlie\u00dft auch OpenEdge LTS Release 11.7.18, OpenEdge LTS Release 12.2.13 und das aktuelle OpenEdge LTS Release 12.8.0 ein.  Allen Kunden, die mit allen OpenEdge-Versionen arbeiten, wird vom Hersteller empfohlen, wenn m\u00f6glich sofort auf die neueste OpenEdge-Version eines Active Release zu aktualisieren. <\/p>\n