Kritische Sicherheitslücke in Wing FTP Server ermöglicht Remote-Code-Ausführung

LONDON (IT BOLTWISE) – Eine schwerwiegende Sicherheitslücke in Wing FTP Server, die es Angreifern ermöglicht, aus der Ferne Code mit Root- oder Systemrechten auszuführen, wird derzeit aktiv ausgenutzt. Die Details zu dieser Schwachstelle, die als CVE-2025-47812 bekannt ist, wurden am 30. Juni 2025 veröffentlicht, und bereits am 1. Juli begannen die ersten Angriffe.

Die Sicherheitslücke in Wing FTP Server, die als CVE-2025-47812 identifiziert wurde, stellt eine ernsthafte Bedrohung für Unternehmen dar, die diese Software zur Dateiübertragung nutzen. Diese Schwachstelle erlaubt es Angreifern, durch die fehlerhafte Handhabung von Null-Bytes beliebigen Lua-Code in Sitzungsdateien einzuschleusen. Dadurch können sie Systembefehle mit den höchsten Privilegien ausführen, was zu einer vollständigen Kompromittierung des Servers führt.

Wing FTP Server ist eine vielseitige Lösung für den sicheren Dateitransfer, die mehrere Protokolle wie FTP, FTPS, SFTP und HTTP/S unterstützt. Die Software läuft auf Windows, Linux und macOS und bietet eine benutzerfreundliche Weboberfläche für Administratoren und Nutzer. Die kritische Schwachstelle betrifft alle Versionen vor 7.4.4 und ermöglicht es Angreifern, durch die Manipulation von Sitzungsdateien, die mit einem Cookie (UID) verknüpft sind, Code auszuführen.

Besonders besorgniserregend ist, dass der Server diesen Code mit vollen Systemrechten ausführt: auf Linux als Root und auf Windows als NT AUTHORITY/SYSTEM. Dies liegt daran, dass Wing FTP Server standardmäßig mit erhöhten Rechten läuft und keine Schutzmechanismen wie Privilegienreduzierung, Sandboxing oder Jailing implementiert sind.

Obwohl eine Authentifizierung erforderlich ist, um diese Schwachstelle auszunutzen, kann selbst ein anonymes FTP-Konto, falls aktiviert, dafür verwendet werden. Dies ermöglicht es Angreifern, von einem einfachen Benutzerzugriff, sei es anonym oder authentifiziert, zu einer vollständigen Remote-Code-Ausführung mit administrativen Rechten auf Linux- und Windows-Systemen zu eskalieren.

Die ersten Exploit-Versuche wurden bereits am 1. Juli 2025 beobachtet, nur einen Tag nachdem die technischen Details veröffentlicht wurden. Forscher von Huntress bestätigten, dass die Schwachstelle aktiv ausgenutzt wird, und Arctic Wolf warnt davor, dass die Verfügbarkeit eines Proof-of-Concept-Exploit-Codes zu weiteren Ausnutzungsversuchen führen wird.

Arctic Wolf empfiehlt dringend, auf die Serverversion 7.4.4 oder höher zu aktualisieren, da alle vorherigen Versionen von der kritischen Schwachstelle betroffen sind. In beobachteten Fällen versuchten Angreifer, bösartige Dateien herunterzuladen und auszuführen, Aufklärungsmaßnahmen durchzuführen und Software zur Fernüberwachung und -verwaltung zu installieren. Solche Aktivitäten könnten letztlich zur Entwendung sensibler Daten und möglicherweise zur Verbreitung von Ransomware führen.

Bestseller Nr. 1 ᵃ⤻ᶻ «KI Gadgets»

Apple AirTag - Finde und behalte Deine Sachen im Blick: Schlüssel, Geldbörsen, Gepäck, Rucksäcke und mehr. Einfaches Einrichten mit iPhone oder iPad. Austauschbare Batterie

29,99 EUR

Bestseller Nr. 2 ᵃ⤻ᶻ «KI Gadgets»

Mobvoi TicNote KI Digitales Diktiergerät, 64 GB Speicher, Notizrekorder mit Hülle, App-Steuerung, über 100 Sprachen, Transkribieren, Zusammenfassen mit AI Shadow,digitaler Audiorekorder Sprachrekorder

169,99 EUR

Bestseller Nr. 3 ᵃ⤻ᶻ «KI Gadgets»

PLAUD Note KI Digitales Diktiergerät mit Hülle - 64 GB Aufnahmegerät mit KI-Technologie zum Transkribieren und Zusammenfassen, One-Touch-Aufnahme, Rauschunterdrückung, Unterstützt 112 Sprachen

169,90 EUR

Bestseller Nr. 4 ᵃ⤻ᶻ «KI Gadgets»

KI-Sprachrekorder, Plaud NotePin Sprachrekorder, App-Steuerung, KI-Notizgerät, KI-Transkription & Zusammenfassung, 112 Sprachen, 64GB Speicher, Audiorekorder für Vorlesungen, Meetings, Kosmisches Grau

169,90 EUR

Bestseller Nr. 5 ᵃ⤻ᶻ «KI Gadgets»

SOXOI KI Digitales Diktiergerät, 64GB Magnet Mini Aufnahmegerä mit ChatGPT 4o vom Transkribieren und Zusammenfassen für 102 Sprachen,One Touch Aufnahme, Voice Recorder Sprachrecorder (Schwarz)

64,59 EUR

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!