Telerik User Interface (UI) for ASP.NET AJAX: uneingeschränkter Dateiupload (CVE-2017-11357)

Was ist betroffen, was ist zu tun

Die Progress Telerik UI für ASP.NET AJAX vor R2 2017 SP2 beschränkt die Benutzereingabe in RadAsyncUpload nicht ordnungsgemäß, was es Fernangreifern ermöglicht, beliebige Dateiuploads durchzuführen oder beliebigen Code auszuführen.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Progress Software Telerik UI for ASP.NET AJAX auf Version 2020.1.114. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Progress Software Telerik UI for ASP.NET AJAX lt *..2020.1.114

Behoben in

• Progress Software Telerik UI for ASP.NET AJAX 2020.1.114

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme der Telerik-Assemblies: Auf allen IIS-Servern und in allen Build-Artefakten nach Telerik.Web.UI.dll suchen und die Dateiversion auslesen, z. B. mit Get-ChildItem -Recurse -Filter Telerik.Web.UI.dll | % { $_.VersionInfo.FileVersion }. Auch eingebettete Drittanwendungen (CMS, Fachverfahren, Herstellerportale) prüfen. Telerik wird dort häufig unbemerkt mitgeliefert.
   • Patch einspielen: Alle Instanzen vor R2 2017 SP2 sind verwundbar. Auf eine aktuelle, unterstützte Telerik-UI-for-ASP.NET-AJAX-Version aktualisieren. Die genaue Zielversion steht im Vendor-Advisory von Progress und muss dort nachgeschlagen werden. Die im Kontext genannte Version 2020.1.114 ist ebenfalls als betroffen gelistet. Ein Update nur bis R2 2017 SP2 reicht daher nicht aus, da RadAsyncUpload weitere Schwachstellen hat (u. a. CVE-2019-18935).
   • RadAsyncUpload deaktivieren, falls nicht benötigt: In der web.config den Eintrag <add key="Telerik.Web.DisableAsyncUploadHandler" value="true" /> unter <appSettings> setzen. So wird der Handler Telerik.Web.UI.WebResource.axd?type=rau sofort stillgelegt.
   • Kryptografische Schlüssel rotieren: Eindeutige, zufällige Werte für Telerik.AsyncUpload.ConfigurationEncryptionKey, Telerik.Upload.ConfigurationHashKey und Telerik.Web.UI.DialogParametersEncryptionKey setzen. Zusätzlich den ASP.NET-machineKey neu generieren.
   • Kompromittierungsprüfung bei internetexponierten Systemen: Upload-Temp-Verzeichnisse (App_Data\RadUploadTemp, %WINDIR%\Temp, %TEMP% des AppPool-Kontos) auf unerwartete .dll-, .aspx- und .ashx-Dateien prüfen. Bei Fund das System isolieren und den Vorfallbehandlungsprozess (inkl. NIS2-Meldepflicht) anstoßen.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerksegmentierung: Webanwendungen mit Telerik-Komponenten, die nicht öffentlich erreichbar sein müssen, hinter VPN oder Reverse-Proxy mit Vorab-Authentisierung stellen. Ausgehende Verbindungen von IIS-Servern per Default-Deny auf benötigte Ziele beschränken. Das erschwert Reverse Shells und Nachladen von Schadcode.
   • WAF/IPS: Ausnahmslos alle POST-Requests auf Telerik.Web.UI.WebResource.axd mit type=rau von nicht vertrauenswürdigen Quellen blockieren oder streng prüfen. Zusätzlich Requests mit dem Parameter rauPostData und ungewöhnlichen Dateiendungen (.dll, .aspx, .exe) im Multipart-Body blockieren. Für Suricata und Snort existieren öffentliche Signaturen zu Telerik-RAU-Exploitation. Den Regelstand aktualisieren und vom Erkennungs- in den Blockiermodus schalten.
   • Endpunkthärtung: Per AppLocker oder WDAC das Laden nicht signierter DLLs aus Temp- und Upload-Verzeichnissen durch w3wp.exe unterbinden. Im EDR die ASR-Regel bzw. Policy gegen Kindprozesse von Webserver-Prozessen aktivieren.
   • Minimalprinzip: Den IIS-Anwendungspool unter einer dedizierten virtuellen Identität (ApplicationPoolIdentity) ohne lokale Administratorrechte betreiben. Schreibrechte auf das Upload-Temp-Verzeichnis begrenzen und dort die Ausführung verbieten (NTFS: kein Execute).
   • Konfiguration: AllowedFileExtensions und TemporaryFolder in RadAsyncUpload explizit setzen. Die Upload-Größe begrenzen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • IIS-Access-Logs: POST-Requests auf /Telerik.Web.UI.WebResource.axd mit cs-uri-query enthält type=rau von externen IPs, besonders mit HTTP 200 und auffälligen User-Agents. SPL-Beispiel: index=iis cs_method=POST cs_uri_stem="*Telerik.Web.UI.WebResource.axd" cs_uri_query="*type=rau*" | stats count by c_ip, s_ip
   • Sysmon EID 11 (FileCreate): Image endet auf \w3wp.exe und TargetFilename endet auf .dll, .aspx oder .ashx in \Temp\ bzw. \RadUploadTemp\.
   • Sysmon EID 7 (ImageLoad): w3wp.exe lädt eine DLL aus C:\Windows\Temp\ oder einem Benutzer-Temp-Pfad. Das ist ein sehr starkes Indiz für Deserialisierungs-Exploitation über RadAsyncUpload.
   • EDR-Prozessabstammung / Sysmon EID 1 bzw. Security EID 4688: Die Kette w3wp.exe → cmd.exe/powershell.exe/rundll32.exe/certutil.exe erkennen. KQL: DeviceProcessEvents | where InitiatingProcessFileName =~ "w3wp.exe" and FileName in~ ("cmd.exe","powershell.exe","rundll32.exe","certutil.exe")
   • Netzwerktelemetrie (Zeek/Suricata): Neue ausgehende Verbindungen von IIS-Servern zu unbekannten externen Zielen kurz nach einem type=rau-POST melden, z. B. als Korrelation in conn.log innerhalb von 5 Minuten.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Die Progress Telerik UI für ASP.NET AJAX vor R2 2017 SP2 beschränkt die Benutzereingabe in RadAsyncUpload nicht ordnungsgemäß, was es Fernangreifern ermöglicht, beliebige Dateiuploads durchzuführen oder beliebigen Code auszuführen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: CISA KEV Catalog, cvelistv5, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Progress Progress Software Telerik UI for ASP.NET AJAX

Weakness-Klassen (CWE)

• CWE-434Unrestricted Upload of File with Dangerous Type

  Base

  The product allows the upload or transfer of dangerous file types that are automatically processed within its environment.

  Eintrag bei MITRE CWE-434

Quellen & Referenzen

• exploit-db.com43874Exploit, x_refsource_EXPLOIT-DB
• telerik.comsupport/kb/aspnet-ajax/upload-(async)/details/insecure-direct-o…x_refsource_CONFIRM
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2017-11357government-resource