LONDON (IT BOLTWISE) – Eine veröffentlichte Proof-of-Concept-Kette nutzt einen Padding-Oracle in Telerik UI für ASP.NET AJAX, um unauthentifiziert Code auf dem Server auszuführen. Voraussetzung ist eine nicht-default Konfiguration mit einem RadAsyncUpload-Steuer-Setup und einer expliziten, vom Standard abweichenden Verschlüsselungs-Einstellung. Progress hat die Lücke bereits im Juli mit Version 2026.2.708 behoben, doch die Angriffsdetails und ein Werkzeug kamen erst Anfang September an die Öffentlichkeit. Für betroffene Systeme bleibt vor allem das zeitnahe Upgrade sowie das Absichern oder Deaktivieren des Upload-Handlers entscheidend.
Der eigentliche Überraschungsmoment ist weniger die Existenz der Schwachstellen, sondern der Zeitpunkt, an dem die komplette Angriffslogik als benutzbares Paket öffentlich wird: Ein TantoSec-Proof-of-Concept macht aus einem Padding-Oracle in Telerik UI für ASP.NET AJAX eine Kette, die zu unauthentifizierter Remote Code Execution (RCE) führt. Progress hatte die zugrunde liegenden Fehler bereits im Juli korrigiert, aber die öffentliche Veröffentlichung liefert nun die Methode inklusive eines command-line Tools (telerik-rau-exploit) und zwei gemischten DLL-Payloads. Damit sinkt die Einstiegshürde spürbar, selbst wenn es weiterhin technische Vorbedingungen gibt, die nicht jede Telerik-Installation automatisch erfüllt.
Technisch betrachtet setzt die Kette am RadAsyncUpload-File-Upload-Controller an. Progress ordnet die verwundbaren Versionen einem Bereich von 2010.1.309 bis 2026.2.519 zu; gefixt ist ab 2026.2.708. Zentral ist ein unguarded type-resolution Fehler mit der Kennung CVE-2026-13181, der Progress als CVSS 8.1 (hohe Kritikalität) einstuft. Die „hohe“ Ausnutzbarkeit kommt dabei weniger aus einem besonders einfachen Einstieg, sondern aus dem Umstand, dass der Angriff eine nicht-default Konfiguration verlangt. TantoSec beschreibt dazu explizit „preconditions“, die bei einer Standardinstallation nicht erfüllt sein sollen: Eine Seite muss ein RadAsyncUpload-Steuerelement rendern, dessen serverseitiger Handler das Upload-Ergebnis verarbeitet, und das System muss für diesen Control-Flow mit einem expliziten, nicht-standardmäßigen Verschlüsselungsschlüssel arbeiten.
Der Angriffseinstieg selbst hängt an einem zweiten CVE-Fundament: dem Padding-Oracle (CVE-2026-13182). Der Grund liegt im Design der Client-State-Verschlüsselung mit AES-CBC ohne Integritätsprüfung. Sobald ein Angreifer manipulierte verschlüsselte Daten übermittelt, reagiert der Server unterschiedlich, je nachdem, ob die entschlüsselten Bytes gültiges Padding enthalten oder ob die Inhalte ohnehin nur wegen JSON-Parsing scheitern. Diese Unterscheidung lässt sich als Information über den internen Entschlüsselungszustand ausnutzen: Über zahlreiche Oracle-Anfragen kann ein Angreifer so Daten entschlüsseln und anschließend sogar die verschlüsselte Upload-Konfiguration fälschen, ohne den eigentlichen Schlüssel zu kennen. TantoSec ergänzt dafür eine Technik rund um einen festen bzw. berechenbaren Seed der Kontrolle, wodurch die Forgeroutine praktisch wird, sobald die Konfigurationshürden erfüllt sind.
Ist die Konfiguration erst einmal „forged“, öffnet sich der nächste Schritt: Der gleiche Manipulationspfad erlaubt es, den Resolver auf einen beliebigen.NET-Typ zu lenken, weil eine erlaubende Typliste (allowlist) fehlt. Aus der Auswahl entsteht dann ein Deserialisierungs-Gadget, das eine vom Angreifer gesteuerte DLL lädt. Diese DLL ist als mixed-mode Assembly konzipiert, also mit Komponenten, die beim Laden nativen Code ausführen. Entscheidend für die realistische Einschätzung ist auch die Timing-/Durchsatzperspektive: TantoSec beschreibt in der End-to-End-Ausführung rund 127.000 Oracle-Requests für einen Labor-Target, etwa eine Stunde Laufzeit, während es auf rate-limitierenden Servern länger gedauert habe. Selbst wenn Fehlerdetails im System verborgen sind, kann die Oracle-Information teils über Antwortzeiten extrahiert werden; diese Timing-Variante wird als CVE-2026-13183 geführt.
Für die Lagebewertung spielt zusätzlich die Frage eine Rolle, ob diese Lücken bereits aktiv missbraucht werden. Laut dem vorliegenden Artikel gibt es bis zum 7. September 2026 keine bestätigten Berichte über Ausnutzung in freier Wildbahn, und die Schwachstellen tauchen in dem Stand zu diesem Datum auch nicht im „Known Exploited Vulnerabilities“-Katalog auf. Ein Anbieter für Attack-Surface-Management erwähnte zwar, er verfolge „ongoing exploitation attempts“, lieferte aber ohne greifbare Datums- oder Volumenangaben keine belastbaren Hinweise, die zwischen echter Ausnutzung und normalem Scanning trennen würden. Trotzdem zeigt der Blick in die Vorgeschichte, warum der aktuelle Befund intern nicht als „theoretisch“ abgehakt wird: Der gleiche Handler hatte bereits in 2019 eine Deserialisierungs-Schwäche (CVE-2019-18935), die zusammen mit einer Verschlüsselungs-Enge 2017 in Angriffsketten integriert wurde. Solche Pfade wurden laut Quelle durch Ransomware-Crews und staatlich unterstützte Akteure genutzt, sogar in einer 2022-Breche eines US-Bundesamts, und sollen bis 2025 noch im aktiven Ausnutzungsverkehr gewesen sein.
Die Meldung ordnet das Ganze zudem in einen größeren Kontext von Fortschritts- und Komponentenketten ein. Progress’ Juli-Bulletin soll zwei separate Remote-Code-Execution-Ketten abdecken: neben dem RadAsyncUpload-Pfad, den TantoSec beschreibt, existiert eine zusätzliche RCE-Kette in RadPersistenceManager und RadDockLayout (CVE-2026-13185, -13186 und -13190), die dem Umfeld um CODE WHITE sowie Progress zugeordnet wird, wobei dafür bislang kein öffentliches Exploit-Release existiert. Innerhalb der RadAsyncUpload-Kette gibt es außerdem einen vierten Bug (CVE-2026-13184), der nur in einem alternativen Angriffsmodus greift; die veröffentlichte Demo habe diesen Modus nicht genutzt. Für Verteidiger heißt das: Selbst wenn ein System auf den ersten Blick „nur“ eine Teiloberfläche nutzt, kann die gesamte Komponentenbibliothek im Zusammenspiel die Angriffsbedingungen erfüllen, sobald Upload- und State-Handling aktiv sind.
Praktisch ergeben sich daraus klare Prioritäten. Progress empfiehlt als einzige offizielle Dauermaßnahme ein Upgrade auf Telerik UI for ASP.NET AJAX 2026.2.708 (2026 Q2 SP1) oder neuer, weil damit das fehlerhafte AES-CBC-Schema durch authenticated encryption ersetzt und die komplette Kette geschlossen wird. Gleichzeitig betont Progress, dass ein stärkerer benutzerdefinierter Schlüssel nicht automatisch hilft, da der Oracle den Schlüssel selbst nicht benötigt, um den Angriff voranzutreiben. Wer nicht sofort upgraden kann, soll laut Progress mehrere Zwischenstufen umsetzen: customErrors auf RemoteOnly oder On setzen, den Upload-Handler deaktivieren (Telerik.Web.DisableAsyncUploadHandler auf true), falls RadAsyncUpload nicht zwingend benötigt wird, oder die benutzerdefinierte Verschlüsselung entfernen, sodass der Control auf ASP.NET Machine Key mit AES und HMAC zurückfällt bzw. starke Machine Keys manuell statt zur Laufzeit generiert werden. Da Progress warnt, dass eine erfolgreiche Ausnutzung keine auffälligen Spuren in Standard-ASP.NET-Fehlerlogs hinterlässt, rückt Verhaltensanalyse in den Vordergrund: Indikatoren wären das Spawnen von cmd.exe durch den IIS-Worker (w3wp.exe), neue oder unerwartete.aspx-Dateien im Webroot sowie das Schreiben einer mixed-mode DLL in temporäre Ordner des Upload-Controls oder in App_Data.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Telerik-AJAX-Padding-Oracle-Kette ermöglicht unauth. RCE – nur mit Spezialkonfiguration" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Telerik-AJAX-Padding-Oracle-Kette ermöglicht unauth. RCE – nur mit Spezialkonfiguration" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Telerik-AJAX-Padding-Oracle-Kette ermöglicht unauth. RCE – nur mit Spezialkonfiguration« bei Google Deutschland suchen, bei Bing oder Google News!