LONDON (IT BOLTWISE) – Eine veröffentlichte Proof-of-Concept-Toolchain zeigt, wie eine Padding-Oracle-Schwachstelle in Telerik UI für ASP.NET AJAX zu unauthentischem Remote Code Execution führen kann. Progress hat die betroffenen Probleme zwar bereits im Juli mit Version 2026.2.708 gefixt, doch die Detailoffenlegung und die einsatzbereite Tooling-Kette machen den Angriffsweg jetzt praktisch nachvollziehbar. Der Exploit funktioniert aber nur, wenn eine nicht-standardspezifische Konfiguration mit einem spezifischen Verschlüsselungs-Schlüssel und einem passenden RadAsyncUpload-Renderpfad vorliegt. Unternehmen sollten vor allem schnell auf das gepatchte Update umsteigen und zusätzlich Upload-Handler und Fehlerausgaben einschränken.
Der entscheidende Unterschied zwischen „theoretisch angreifbar“ und „praktisch ausnutzbar“ liegt bei dieser Meldung nicht im Fix selbst, sondern in der Veröffentlichung der Angriffsmethode mitsamt lauffähigem Tooling. TantoSec hat am 7. September eine vollständige Chain für eine Padding-Oracle-Schwachstelle in Telerik UI for ASP.NET AJAX öffentlich gemacht und damit den Weg von einem verschlüsselten Client-Zustand bis zur Code-Ausführung überspannt. Progress hatte die Ursache bereits am 8. Juli in der Version 2026.2.708 (2026 Q2 SP1) geschlossen und die zugehörigen CVEs am 22. Juli veröffentlicht. In der Wildbahn gab es laut Quelle zu keinem Zeitpunkt bestätigte Nutzungen der „2026“-Lücken; dennoch verändert sich die Risikolage, weil ein funktionierender End-to-End-Angriffspfad nun direkt verfügbar ist.
Technisch beginnt alles mit einem Orakel-Problem: Der RadAsyncUpload-Upload-Workflow verschlüsselt bestimmte Zustandsinformationen in einer AES-CBC-Variante, prüft aber keine Integrität. Dadurch antwortet der Server je nach Manipulation des verschlüsselten Inhalts unterschiedlich – etwa ob die entschlüsselten Bytes korrektes Padding enthalten oder ob die Daten schon beim JSON-Parsing scheitern. Diese Differenz wird als „padding oracle“ (u. a. als CVE-2026-13182 eingeordnet) ausgenutzt, um Informationen aus dem Verschlüsselungstext zu rekonstruieren, ohne den Schlüssel zu kennen. Interessant ist dabei das Zusammenspiel mehrerer Bugs in der gleichen Steuerkette: Mit dem entschlüsselten bzw. erschlossenen Zustand lässt sich anschließend auch eine beabsichtigte Konfiguration fälschen, einschließlich der Benennung eines beliebigen.NET-Typs, den die Komponente ohne Allowlist auflösen und weiterverarbeiten kann (CVE-2026-13181, CVSS 8,1 „high“).
Damit aus dem „Orakel“ wirklich Remote Code Execution wird, müssen allerdings harte Voraussetzungen erfüllt sein. Laut TantoSec existieren „preconditions, die nicht von einer Default-Installation erfüllt werden“: Die betroffene Seite muss zur Laufzeit eine RadAsyncUpload-Komponente so rendern, dass ein serverseitiger Handler das Upload-Ergebnis verarbeitet. Zusätzlich fordert die Konfiguration einen explizit nicht-standardspezifischen Verschlüsselungsschlüssel für genau diese Kontrolle. Bemerkenswert ist, dass dieser Schlüssel als empfohlene Härtungsmaßnahme in der Telerik-Umgebung selbst in einer anderen Form vorgeschlagen wird – ironischerweise kann gerade diese Praxis in der Kombination mit dem Orakel die Angriffbarkeit erhöhen. Für Seiten, die auf einer betroffenen Version laufen, aber beide Bedingungen nicht erfüllen, gilt: Der beschriebene Angriffsweg bleibt nicht nutzbar.
Unter den passenden Bedingungen ist die Payload-Logik dann deutlich konkreter. Der Exploit kann den beliebig benannten.NET-Typ so ansprechen, dass am Ende ein Gadget entsteht, das eine DLL von einer Angreifer-kontrollierten Position lädt. Die veröffentlichten Beispielpayloads sind als „mixed-mode“ Assemblies ausgeführt, die beim Laden unmittelbar nativen Code starten. Laut Quelle dauerte ein vollständiger End-to-End-Lauf gegen ein Laborziel etwa 127.000 Orakel-Anfragen – grob rund eine Stunde, in der Praxis je nach Rate-Limiting auch länger. Selbst wenn die Anwendung keine detaillierten Fehlertexte ausgibt, lässt sich das Orakel teils über Timing-Effekte auslesen; diese Variante wird als CVE-2026-13183 geführt. Die Quelle weist zudem darauf hin, dass das Verfahren in dieser Angriffsstufe ohne klassische „Fehlersignatur“-Spuren auskommt, weil Progress zufolge keine eindeutigen Spuren in Standard-ASP.NET-Fehlerlogs zurückbleiben.
Einordnung über die bisherige Angriffshistorie: Der Handler von RadAsyncUpload ist kein „junges“ Ziel. Bereits 2019 wurde eine Deserialisierungs-Lücke in derselben Komponente (CVE-2019-18935) bekannt, die zusammen mit einer später berichteten Verschlüsselungsschwäche in der Praxis missbraucht werden konnte. Laut Quelle nutzten sowohl Ransomware-Teams als auch Akteure mit staatlichem Bezug solche Ketten; als Beispiel wird eine 2022 bekannte Kompromittierung einer US-Bundesbehörde genannt, und der Status „noch 2025 ausnutzbar“ wurde ebenfalls erwähnt. Das erklärt, warum selbst ohne bestätigte Ausnutzung der neuen 2026er CVEs die Veröffentlichung jetzt besonders ernst genommen wird: Sie senkt die Hürde, um eine gut dokumentierte Schwachstellenklasse für neue Angriffsvarianten schnell wieder in Produktion zu bringen.
Für Betreiber ist die Gegenmaßnahme damit relativ klar, auch wenn sie im Detail mehrere Hebel umfasst. Progress empfiehlt primär das Upgrade auf Telerik UI für ASP.NET AJAX 2026.2.708 oder später, weil das Update das problematische AES-CBC-Schema durch authenticated encryption ersetzt und damit die gesamte Kette schließt. Laut Quelle hilft ein „stärkerer Custom Key“ dabei nicht als alleinige Maßnahme, weil das Padding-Orakel den Schlüssel nicht zwingend benötigt. Wer nicht sofort migrieren kann, soll laut Progress vorübergehend customErrors auf „RemoteOnly“ oder „On“ setzen, den Upload-Handler deaktivieren (Telerik.Web.DisableAsyncUploadHandler set to true), falls RadAsyncUpload nicht benötigt wird, und keine benutzerdefinierte Verschlüsselung für diese Kontrolle verwenden. Zusätzlich wird empfohlen, die Maschine Keys bewusst und stark zu konfigurieren, statt sie zur Laufzeit anzupassen. Für die Detektion rät Progress zu verhaltensbasierter Suche: etwa ein ungewöhnliches Spawn-Verhalten wie „w3wp.exe“ mit cmd.exe, neu angelegte.aspx-Dateien im Webroot sowie das Schreiben einer mixed-mode DLL in temporären Ordnern bzw. unter App_Data.
Neben der RadAsyncUpload-Chain existiert noch mehr Angriffsfläche im gleichen Paket: Progress beschreibt in seinem Juli-Bulletin zwei getrennte Remote-Code-Execution-Pfade, darunter eine weitere Schwachstellenklasse in RadPersistenceManager und RadDockLayout (CVE-2026-13185, -13186 und -13190), für die nach Quelle kein öffentliches Exploit-Tool kursiert. Innerhalb der RadAsyncUpload-Kette nennt die Quelle außerdem einen vierten Bug (CVE-2026-13184), der in einem alternativen Angriffsmodus mit einem vorhersehbaren Default-Key greift; der veröffentlichte Demonstrationsangriff nutzte diesen Modus ausdrücklich nicht. Für Sicherheitsverantwortliche heißt das: Selbst wenn ein System scheinbar „nur“ eine Komponente betrifft, lohnt sich ein vollständiges Inventory der Telerik-UI-Versionen und der relevanten Rad-Komponentenpfade, weil die erfolgreiche Ausnutzung weniger an „Version allein“ hängt als an der konkreten Laufzeitkonfiguration.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Telerik UI: Padding-Oracle-Kette führt zu unauthentischem RCE" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Telerik UI: Padding-Oracle-Kette führt zu unauthentischem RCE" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Telerik UI: Padding-Oracle-Kette führt zu unauthentischem RCE« bei Google Deutschland suchen, bei Bing oder Google News!