CVE‑2025‑47813: Von der CISA gemeldete Sicherheitslücke im Wing FTP Server

Ein CVSS-Wert von 4,3 , der einem mittleren Schweregrad entspricht, lässt möglicherweise für sich genommen noch keine Alarmglocken läuten. Eine aktive Ausnutzung verändert jedoch die Art und Weise, wie Organisationen das Risiko bewerten und darauf reagieren sollten.

In diesem Artikel wird erläutert, wie sich die Sicherheitslücke auswirkt, welche Versionen betroffen sind, wie Angreifer sie ausnutzen und welche Maßnahmen Sie ergreifen können, um sie in Ihrer gesamten Umgebung zu erkennen und zu beheben.

Was ist CVE-2025-47813?

CVE-2025-47813 ist eine Sicherheitslücke, die zur Offenlegung von Informationen führt, in Wing FTP Server, einer Dateiübertragungsanwendung mit über 10 000 Kunden weltweit. Die Sicherheitslücke befindet sich auf der Seite „ loginok.html“ , die übergroße Werte im UID-Cookie nicht ordnungsgemäß verarbeitet.

Wenn ein authentifizierter Benutzer eine Anfrage mit einem übermäßig langen UID-Cookie-Wert sendet, löst der Server einen Fehler aus, der den vollständigen lokalen Installationspfad der Anwendung offenlegt. Diese Art von Schwachstelle fällt unter die Kategorie „Pfadoffenlegung“.

Für sich genommen verschafft dies Angreifern keine direkte Kontrolle über ein System. Die dadurch preisgegebenen Informationen stellen jedoch wertvolle Erkenntnisse für die Planung weiterer Angriffe dar.

• Art der Sicherheitslücke: Offenlegung von Informationen durch „ “ (Offenlegung des Pfads)
• Betroffene Komponente: loginok.html
• Grundursache: – Unzureichende Eingabevalidierung beim UID-Cookie
• Offen gelegte Informationen: Vollständiger Dateisystempfad der Wing FTP Server-Installation

CVSS-Wert und Schweregradbewertung

Das Common Vulnerability Scoring System (CVSS) bietet einen standardisierten Rahmen für die Einstufung des Schweregrads von Sicherheitslücken. CVE-2025-47813 weist einen CVSS-Basiswert von 4,3 auf und fällt damit in den mittleren Schweregradbereich.

Eine mittlere Risikoeinstufung mag weniger dringlich erscheinen als kritische Schwachstellen. Doch hier ist der Haken: Die CISA nimmt Schwachstellen nicht allein auf der Grundlage von CVSS-Werten in den KEV-Katalog auf.

Ein effektives Management von Bedrohungen und Schwachstellen im Zusammenhang mit „ “ berücksichtigt aktive Ausnutzungssignale, und die Aufnahme in die KEV-Liste bestätigt, dass Angreifer diese Schwachstelle ausnutzen, was die Risikoeinschätzung grundlegend verändert.

Betroffene Versionen des Wing FTP-Servers

Jede Version des Wing FTP Servers, die vor Version 7,4,4 veröffentlicht wurde, ist anfällig für CVE-2025-47813. Der Anbieter hat das Problem in Version 7,4,4 behoben, die die fehlerhafte Verarbeitung übergroßer Cookie-Werte korrigiert.

• Betroffen: Alle Versionen vor 7,4,4
• Behoben: „ “, Version 7,4,4 und höher
• Plattformen: – Betroffen sind alle Installationen unter Windows, Linux und macOS

Falls Sie Wing FTP Server in Ihrer Umgebung einsetzen, besteht der erste Schritt darin, zu überprüfen, welche Version installiert ist. Unternehmen mit unvollständigen Softwarebestandsaufnahmen entdecken häufig anfällige Instanzen, von deren Existenz sie nichts wussten.

Warum die CISA diese Sicherheitslücke in den KEV-Katalog aufgenommen hat

Der Katalog der bekannten, bereits ausgenutzten Sicherheitslücken der CISA ist keine Auflistung theoretischer Risiken. Die CISA nimmt Schwachstellen auf der Grundlage von drei Kriterien des „ “ in den KEV-Katalog auf, darunter der zuverlässige Nachweis, dass die Schwachstelle aktiv ausgenutzt wurde. Wenn eine CVE in KEV erscheint, deutet dies auf bestätigte Ausnutzungsversuche hin und macht eine beschleunigte Behebung erforderlich.

Anzeichen für aktive Ausbeutung

Der KEV-Eintrag für CVE-2025-47813 bestätigt, dass Angreifer diese Sicherheitslücke aktiv ausnutzen. Auch wenn konkrete Details zu den Angriffen nicht immer veröffentlicht werden, deutet der Katalogeintrag darauf hin, dass die Ausnutzung dieser Schwachstelle über die Proof-of-Concept-Phase hinaus in den operativen Einsatz übergegangen ist.

Frist für Sanierungsmaßnahmen durch Bundesbehörden

Gemäß der verbindlichen Betriebsrichtlinie (BOD) 22-01 „ “ des „“ sind die zivilen Bundesbehörden der Exekutive der Vereinigten Staaten verpflichtet, die im KEV aufgeführten Sicherheitslücken bis zu einer festgelegten Frist zu beheben. Für den Kurs CVE-2025-47813 lautet diese Frist: , 30. März 2026, .

Auswirkungen auf Organisationen des privaten Sektors

BOD 22-01 gilt ausschließlich für Bundesbehörden gemäß „ “ (). Der KEV-Katalog „ “ ( ) hat sich jedoch für Organisationen aller Branchen de facto zu einer Prioritätenliste entwickelt. Sollte die CISA bestätigen, dass die Schwachstelle aktiv ausgenutzt wird, ist es im Hinblick auf das Risiko- und „ “-Schwachstellenmanagement ein vernünftiger Ansatz, die Frist der Bundesbehörden als Ihr eigenes Zieldatum zu betrachten.

Wie Angreifer diese Sicherheitslücke ausnutzen

Der Ausnutzungsprozess für CVE-2025-47813 ist für jeden, der über einen authentifizierten Zugriff auf den Server verfügt, unkompliziert.

Der UID-Cookie-Angriffsvektor

Ein Angreifer erstellt eine HTTP-Anfrage an den Wing FTP Server und manipuliert das UID-Cookie, indem er dessen Wert auf eine übermäßig lange Zeichenfolge setzt. Wenn der Server versucht, diese fehlerhafte Eingabe zu verarbeiten, schlägt dies fehl und es wird eine Fehlermeldung ausgegeben. Diese Fehlermeldung enthält den vollständigen Dateisystempfad, unter dem Wing FTP Server installiert ist.

Wie die Offenlegung von Pfaden eine laterale Bewegung ermöglicht

Die Kenntnis des genauen Installationspfads verschafft Angreifern einen Überblick über das Zielsystem und ermöglicht ihnen eine seitliche Bewegung („ “) bei Cyberangriffen , wodurch aus einem Vorfall mittlerer Schwere eine schwerwiegende Sicherheitsverletzung wird. Anhand dieser Informationen können Angreifer die Zielumgebung besser einschätzen und nachfolgende Angriffe besser vorbereiten, einschließlich der Kombination mit anderen Schwachstellen des Wing FTP Servers.

Sicherheitslücken bei der Offenlegung von Pfaden dienen häufig als Sprungbrett. Sie liefern den Angreifern die Informationen, die sie benötigen, um ihre Berechtigungen zu erweitern oder sich innerhalb eines Netzwerks seitlich zu bewegen ( ).

Beobachtete Angriffsmuster

Sicherheitslücken bei der Offenlegung von Informationen wie diese treten in der Regel zu Beginn einer Angriffskette auf. Angreifer nutzen die offengelegten Pfadinformationen, um ihre Vorgehensweise zu verfeinern, und kombinieren diese mit anderen Schwachstellen, darunter eine damit zusammenhängende RCE-Sicherheitslücke mit der Bezeichnung „ “ (CVSS 10,0 ), um noch schwerwiegendere Folgen zu erzielen.

So erkennen Sie „ CVE-2025-47813 “ in Ihrer Umgebung

Um anfällige Instanzen zu identifizieren, ist eine Schwachstellenanalyse nach dem „ “-Prinzip erforderlich ( ), die auf einer genauen und aktuellen Übersicht über die auf Ihren Endgeräten ausgeführte Software basiert.

Wing FTP Server-Installationen ermitteln

Viele Unternehmen haben mit unvollständigen Softwarebestandsaufnahmen zu kämpfen. Schatten-IT, vergessene Testserver und dezentrale Bereitstellungen können allesamt anfällige Installationen verbergen. Die Echtzeit-Transparenz der Endpunkte ermöglicht es, jede Instanz des Wing FTP Servers zu identifizieren, unabhängig davon, wo diese ausgeführt wird.

Ermittlung anfälliger Versionen

Sobald Sie alle Installationen ausfindig gemacht haben, überprüfen Sie bitte die Versionsnummern. Jede Instanz, auf der eine Version vor 7,4,4 ausgeführt wird, ist anfällig. Bei punktuellen Überprüfungen können Geräte, die offline sind oder nur zeitweise verbunden sind, übersehen werden; daher liefert eine kontinuierliche Überwachung ein genaueres Bild.

Suche nach Anzeichen für eine Kompromittierung

Um festzustellen, ob bereits ein Missbrauch stattgefunden hat, suchen Sie in den Serverprotokollen nach ungewöhnlich langen oder fehlerhaften UID-Cookie-Werten, nach Spitzenwerten bei Fehlermeldungen im Zusammenhang mit der Cookie-Verarbeitung sowie nach anschließenden Erkundungsaktivitäten von IP-Adressen, die solche Fehler ausgelöst haben.

Da es sich hierbei um eine Sicherheitslücke im Zusammenhang mit der Offenlegung von Informationen handelt, können die Anzeichen subtil sein. Die Korrelation von Protokolldaten mit anderen verdächtigen Aktivitäten mithilfe proaktiver Bedrohungssuche ( ) kann dazu beitragen, potenzielle Sicherheitsverletzungen zu erkennen.

Maßnahmen zur Behebung

Befolgen Sie diese 4-stufige Vorgehensweise, um das Problem CVE‑2025‑47813 in Ihrer Umgebung zu beheben:

1. Erstellen Sie eine Bestandsaufnahme aller betroffenen Systeme: Beginnen Sie mit einer vollständigen Echtzeit-Bestandsaufnahme aller Endgeräte, auf denen der Wing FTP Server ausgeführt wird. Beziehen Sie lokale Systeme, Remote-Geräte sowie alle Instanzen in Cloud-Umgebungen mit ein.

2. Führen Sie ein Upgrade auf die korrigierte Version durch: Aktualisieren Sie den Wing FTP Server auf Version 7,4,4 oder höher, wie im offiziellen CVE-Eintrag „ “ sowie in Sicherheitshinweisen von Drittanbietern beschrieben.

3. Überprüfen Sie, ob die Behebung erfolgreich war: Führen Sie nach der Bereitstellung einen erneuten Scan aller Systeme durch, um sicherzustellen, dass auf diesen die korrigierte Version installiert ist. Die Behebung gilt erst dann als abgeschlossen, wenn durch eine Überprüfung bestätigt wurde, dass keine anfälligen Instanzen mehr vorhanden sind.

4. Führen Sie eine kontinuierliche Überwachung ein: Eine einmalige Korrektur reicht nicht aus. Durch Neuinstallationen, System-Rollbacks oder die Wiederherstellung von Sicherungskopien kann die Sicherheitslücke erneut auftreten. Durch eine kontinuierliche Überwachung wird eine Versionsabweichung erkannt, bevor sie erneut eine Sicherheitslücke verursacht.

Ausgleichsmaßnahmen, wenn eine Behebung nicht sofort möglich ist

Manchmal verzögern betriebliche Einschränkungen die Behebung. In solchen Fällen können Ausgleichsmaßnahmen das Risiko verringern, während Sie an einer vollständigen Behebung des Problems arbeiten.

Netzwerksegmentierung und Zugriffsbeschränkungen

Beschränken Sie den Netzwerkzugriff auf den Wing FTP-Server. Beschränken Sie Verbindungen auf vertrauenswürdige IP-Adressen oder verlangen Sie einen VPN-Zugang. Durch die Verringerung der Angriffsfläche wird verhindert, dass unbefugte Benutzer überhaupt erst auf den Server zugreifen können.

Verbesserte Protokollierung und Benachrichtigung

Erhöhen Sie den Protokollierungsgrad auf dem Wing FTP-Server und konfigurieren Sie Ihr SIEM-System so, dass es bei verdächtigen Mustern Warnmeldungen ausgibt. Erstellen Sie Regeln, die Anfragen mit ungewöhnlich großen Cookie-Werten kennzeichnen.

Richtlinien zur Anwendungskontrolle

Regeln der Web Application Firewall (WAF) können eingehende Anfragen überprüfen und solche mit übergroßen UID-Cookies blockieren. Dies bietet einen Schutz während der Durchführung der Abhilfemaßnahmen.

So überprüfen Sie, ob die Korrekturmaßnahmen erfolgreich waren

Die Überprüfung ist der Schritt, der häufig übersprungen wird. Führen Sie nach der Behebung Erkennungsscans durch, um sicherzustellen, dass alle zuvor anfälligen Instanzen nun die Version 7,4,4 oder höher anzeigen. Dokumentieren Sie diese Validierung zu Compliance- und Prüfungszwecken.

Warten Sie nicht auf Ihren nächsten planmäßigen Schwachstellen-Scan. Führen Sie unmittelbar nach dem Upgrade-Zyklus eine Validierung durch, um den Erfolg zu bestätigen und den Prozess abzuschließen.

Häufig gestellte Fragen zu CVE-2025-47813

Wie lautet die CWE-Klassifizierung für diese Sicherheitslücke?

CVE-2025-47813 wird unter CWE-209 klassifiziert: Erzeugung einer Fehlermeldung, die sensible Informationen enthält. Die „Common Weakness Enumeration“ (CWE) ist ein von der Community entwickelter Katalog von Schwachstellentypen in Software und Hardware.

Kann diese Sicherheitslücke ohne Authentifizierung ausgenutzt werden?

Nein. Um „Exploiting CVE-2025-47813 “ ausnutzen zu können, ist ein authentifizierter Zugriff auf Serverebene erforderlich. Ein Angreifer ohne Anmeldedaten kann die Offenlegung des Pfades nicht auslösen.

Betrifft dies den Wing FTP Server auf allen Betriebssystemen?

Ja. Die Sicherheitslücke besteht im Anwendungscode, nicht in der zugrunde liegenden Plattform. Betroffen sind sowohl Windows-, Linux- als auch macOS-Installationen.

Was geschieht, wenn wir Hinweise auf Ausbeutung finden?

Legen Sie unverzüglich Ihren Plan zur Reaktion auf Vorfälle in Kraft. Isolieren Sie betroffene Systeme, sichern Sie Protokolle und Systemabbilder für forensische Analysen und melden Sie den Vorfall, sofern dies gemäß Richtlinien oder Vorschriften erforderlich ist.

Inwiefern unterscheidet sich diese Schwachstelle von anderen Schwachstellen des Wing FTP Servers?

CVE-2025-47813 ist konkret eine Schwachstelle, die zur Offenlegung von Informationen führt. Die unmittelbare Auswirkung besteht darin, dass Systeminformationen offengelegt werden, und nicht darin, dass eine Remote-Codeausführung oder eine Ausweitung von Berechtigungen ermöglicht wird. Die durchgesickerten Informationen ermöglichen jedoch häufig solche schwerwiegenderen Angriffe als Teil einer umfassenderen Angriffskette.

Eine wirksame Reaktion auf Bedrohungen wie „ CVE-2025-47813 “ hängt von Schnelligkeit und Genauigkeit ab. Unternehmen mit Echtzeit-Transparenz über ihre Endgeräte können jede anfällige Installation innerhalb von Sekunden identifizieren, Korrekturen in großem Maßstab bereitstellen und die Behebung sofort überprüfen.
Tanium wurde entwickelt, um Unternehmen dabei zu unterstützen, ihren „ “-Ansatz zu einem modernen Risikomanagement weiterzuentwickeln , indem Echtzeit-Endgeräte-Informationen mit integrierten Workflows für Schwachstellen und deren Behebung auf einer einzigen Plattform kombiniert werden. Dies trägt dazu bei, die Expositionsfenster zu verkürzen, und ermöglicht es den Teams, sicher zu reagieren. Anstatt Tage oder Wochen auf Scan-Ergebnisse zu warten, können Teams schnell handeln und die Ergebnisse in Echtzeit überprüfen.
Vereinbaren Sie eine kostenlose, maßgeschneiderte Demo unter , um zu erfahren, wie Tanium eine schnellere Reaktion auf CVEs unterstützt.