Authentifizierungsumgehung in Progress Telerik Report Server gefunden

Table of Contents

In Progress Telerik Report Server, Version 2024 Q1 (10.0.24.305) oder früher, kann ein nicht authentifizierter Angreifer über eine Authentifizierungsumgehung auf eingeschränkte Funktionen des Telerik Report Servers zugreifen. Die Sicherheitslücke wurde als CVE-2024-4358 (KRITISCH CVSS 9.8 / 10) klassifiziert.

Auf Report Server 2024 Q2 (10.1.24.514) oder neuer zu aktualisieren ist der einzige Weg, um diese Sicherheitslücke zu beheben.

Wenn ein Upgrade Ihrer Report Server-Instanz(en) keine sofortige Option ist, empfehlen wir dringend, eine temporäre Mitigationsstrategie für URL-Umschreibungen zu implementieren, um die Angriffsfläche in IIS zu entfernen. Das URL-Umschreibungsmodul für IIS ist für diese Abschwächung erforderlich. Wenn Sie es noch nicht installiert haben, können Sie es hier herunterladen (starten Sie den IIS-Manager nach der Installation neu)

  • Öffnen Sie den IIS-Manager und wählen Sie die Telerik Report Server-Site aus.
  • Wählen Sie das URL-Umschreibungsmodul aus (siehe Screenshot unten für diese Ansicht).
  • Klicken Sie auf “Regeln hinzufügen”.
  • Wählen Sie eine “Anforderungsblockierungsregel”.
  • Wählen Sie für “Zugriff blockieren basierend auf” “URL-Pfad”.
  • Geben Sie für “Muster” den Wert ein: startup/register
  • Klicken Sie auf OK, um die Regel zu speichern und zu aktivieren.
  • Fügen Sie keine URL-Umschreibungsregel hinzu, bevor der Report Server vollständig installiert und konfiguriert wurde, da diese Regel den Zugriff auf die Funktionen der Ersteinrichtung blockiert.

Update: CISA nimmt Schwachstelle in Known Exploit Liste auf

die amerikanische Cybersicherheitsbehörde CISA hat die Schwachstelle mittlerweile in seine Liste der Known Exploits aufgenommen. Es wird Betreibern daher dringend zum patchen geraten.

Tags :

Related Posts

SolarWinds Platform 2024.2 Update patcht kritische Sicherheitslücken

SolarWinds hat Anfang Juni das Update 2024.2 für die SolarWinds-Plattform veröffentlicht. Dieses Update bringt mehrere neue Funktionen und Verbesserungen mit sich, enthält jedoch auch wichtige Informationen über behobene Sicherheitslücken und Schwachstellen. Hier sind die Details zu den bekanntgegebenen CVEs:

Read More

Privilege Escalation Lücke in Parallels Desktop für macOS gefunden

Am 30. Mai 2024 wurde eine Sicherheitslücke in Parallels Desktop für macOS entdeckt und als CVE-2024-34331 identifiziert. Diese Lücke ermöglichte eine lokale Privilegieneskalation durch die Ausnutzung des Set-UID-Bits in der Anwendung. Angreifer konnten so ohne Administratoranmeldeinformationen root-Berechtigungen erlangen. Die Schwachstelle betraf die Versionen 16.0.0 bis 19.3.0 von Parallels Desktop. Das Problem mit der Veröffentlichung von Version 19.3.1 behoben. Parallels hat die Nutzer dazu aufgerufen, umgehend auf die aktualisierte Version zu migrieren, um sich vor potenziellen Angriffen zu schützen.

Read More

42 Punkte Plan der EU zur Massenüberwachung von Messengerdiensten geleakt

Die Europäische Union hat einen 42-Punkte-Plan vorgestellt, der unter dem Schlagwort “Access by design” Hersteller dazu verpflichten soll, digitale Geräte wie Smartphones, Smart-Home-Geräte und Autos jederzeit staatlich überwachbar zu machen. Diese Initiative zielt darauf ab, den Behörden bessere Möglichkeiten zu geben, SSL Verschlüsselungen zu umgehen, um jederzeit und in Echtzeit Chatverläufe von Personen in der EU mitverfolgen zu können.

Read More