Progress Telerik UI for ASP.NET AJAX: Deserialisierung nicht vertrauenswürdiger Daten (CVE-2019-18935)

Was ist betroffen, was ist zu tun

Fortschritt Telerik UI für ASP.NET AJAX bis Version 2019.3.1023 enthält eine .NET-Deserialisierungsanfälligkeit in der RadAsyncUpload-Funktion. Diese ist ausnutzbar, wenn die Verschlüsselungsschlüssel bekannt sind aufgrund des Vorhandenseins von CVE-2017-11317 oder CVE-2017-11357 oder anderen Mitteln.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Die vorliegenden Quellen nennen keine Fix-Version. Prüfen Sie die Herstellerhinweise in den Referenzen unten. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Progress Telerik UI for ASP.NET AJAX lte 2011.1.315..2020.1.114

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Inventarisierung: Alle IIS-Anwendungen mit eingebettetem Telerik.Web.UI.dll identifizieren (auch in Drittanbieter-Produkten wie CMS, Portalen oder Fachverfahren). Die Dateiversion prüfen, z. B. mit Get-ChildItem -Recurse -Filter Telerik.Web.UI.dll | % { $_.VersionInfo.FileVersion }. Betroffen sind alle Versionen bis einschließlich 2019.3.1023.
   • Patch: Auf Telerik UI for ASP.NET AJAX 2020.1.114 oder neuer aktualisieren. Ab dieser Version verhindert die Standardkonfiguration die Ausnutzung. Die aktuelle Version bitte im Vendor-Advisory von Progress nachschlagen. Bei eingebetteten Drittprodukten den Hersteller nach einer gepatchten Version fragen.
   • Version 2019.3.1023: Die nicht standardmäßig aktive Typ-Whitelist für RadAsyncUpload-Metadaten gemäß Telerik-Dokumentation aktivieren (appSettings-Key Telerik.Upload.AllowedCustomMetaDataTypes). Ältere Versionen haben diese Schutzoption nicht und müssen zwingend aktualisiert oder isoliert werden.
   • Schlüssel austauschen: Eigene, zufällige und starke Werte für Telerik.AsyncUpload.ConfigurationEncryptionKey, Telerik.Upload.ConfigurationHashKey und Telerik.Web.UI.DialogParametersEncryptionKey in der web.config setzen. Hintergrund: Die Ausnutzung setzt bekannte Schlüssel voraus, etwa über CVE-2017-11317 oder CVE-2017-11357 oder durch Standardwerte.
   • Kompromittierungsprüfung: Bei internetexponierten, ungepatchten Systemen von einer möglichen Kompromittierung ausgehen. Vor dem Patchen forensische Sicherung anlegen (IIS-Logs, C:\Windows\Temp, Upload-Temp-Verzeichnis der Anwendung, Speicherabbild von w3wp.exe). Anschließend machineKey, Datenbank- und Service-Account-Credentials der Anwendung rotieren.
   • Nicht patchbare Systeme: Wenn kein Update möglich ist, das System vom Internet trennen oder den Pfad Telerik.Web.UI.WebResource.axd?type=rau am vorgelagerten Reverse-Proxy bzw. an der WAF sperren.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • WAF/Reverse-Proxy: POST-Requests auf /Telerik.Web.UI.WebResource.axd mit Query-Parameter type=rau blockieren, wenn die Anwendung RadAsyncUpload nicht benötigt. Andernfalls nur authentifizierte Sessions oder bekannte Quellnetze zulassen. Zusätzlich Requests mit rauPostData im Body inspizieren und Payloads mit Typnamen wie System.Configuration.Install.AssemblyInstaller blockieren.
   • Anwendungskonfiguration: Wird der Upload-Handler nicht genutzt, ihn – sofern die eingesetzte Version es unterstützt – per appSettings deaktivieren (Telerik.Web.DisableAsyncUploadHandler = true, siehe Telerik-Dokumentation). Den TemporaryFolder von RadAsyncUpload außerhalb des Webroots ablegen.
   • Endpoint-Härtung: Per WDAC/AppLocker das Laden von DLLs aus C:\Windows\Temp und %TEMP% sowie das Starten von cmd.exe/powershell.exe durch w3wp.exe unterbinden. Die ASR-Regel „Block process creations originating from PSExec and WMI commands" reicht hier nicht aus. Stattdessen EDR-Custom-Block für die Prozesskette w3wp.exe → Shell einsetzen.
   • Least Privilege: Application Pools unter dedizierten, nicht privilegierten Identitäten (ApplicationPoolIdentity) betreiben, nicht als LocalSystem oder Domänenkonto mit erweiterten Rechten. Schreibrechte im Webroot entziehen.
   • Netzsegmentierung: IIS-Server in eine DMZ mit restriktivem Egress-Filter stellen. Ausgehend nur die notwendigen Ziele erlauben (typischerweise DB-Port 1433 zum Backend). Direkte Internet-Verbindungen ausgehend blockieren, um Reverse Shells und Nachladen von Tools zu verhindern.
   • IPS: Verfügbare Snort/Suricata-Signaturen für CVE-2019-18935 bzw. Telerik RadAsyncUpload in den eingesetzten Regelsätzen (ET, Talos) aktivieren und auf Block-Modus prüfen.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • IIS-Access-Log: Nach POST /Telerik.Web.UI.WebResource.axd type=rau von ungewöhnlichen Quell-IPs suchen, besonders in Häufung oder mit HTTP 200 gefolgt von Fehlern. SPL: index=iis cs_method=POST cs_uri_stem="*Telerik.Web.UI.WebResource.axd" cs_uri_query="*type=rau*" | stats count by c_ip
   • Sysmon EID 7 (ImageLoad): w3wp.exe lädt DLLs aus C:\Windows\Temp\ oder dem Upload-Temp-Ordner. Typisch für Exploit-Payloads sind Dateinamen mit Zeitstempel- oder Zahlenmuster. Sigma-Form: Image|endswith: '\w3wp.exe' AND ImageLoaded|contains: '\Temp\' AND ImageLoaded|endswith: '.dll'
   • Sysmon EID 1 / EDR-Prozesskette: w3wp.exe → cmd.exe/powershell.exe/rundll32.exe. KQL: DeviceProcessEvents | where InitiatingProcessFileName =~ "w3wp.exe" and FileName in~ ("cmd.exe","powershell.exe","rundll32.exe")
   • Sysmon EID 11 (FileCreate): Neue .dll-, .aspx- oder .ashx-Dateien, die von w3wp.exe im Webroot oder in Temp-Verzeichnissen geschrieben werden. Das deutet auf Webshell-Ablage oder Second-Stage-Payloads hin.
   • Windows Application Log: Event ID 1309 (ASP.NET Warning) mit Exceptions aus Telerik.Web.UI oder Deserialisierungsfehlern zeitnah zu RAU-Requests. Das kann auf Ausnutzungsversuche mit falschen Schlüsseln hindeuten. Zusätzlich Zeek/Suricata-Telemetrie auf ausgehende Verbindungen von IIS-Hosts zu unbekannten Zielen prüfen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Fortschritt Telerik UI für ASP.NET AJAX bis Version 2019.3.1023 enthält eine .NET-Deserialisierungsanfälligkeit in der RadAsyncUpload-Funktion. Diese ist ausnutzbar, wenn die Verschlüsselungsschlüssel bekannt sind aufgrund des Vorhandenseins von CVE-2017-11317 oder CVE-2017-11357 oder anderen Mitteln. Die Ausnutzung kann zu einer Ferncodeausführung führen. (Ab Version 2020.1.114 verhindert eine Standardeinstellung die Ausnutzung. In Version 2019.3.1023, aber nicht in früheren Versionen, kann eine Nicht-Standardeinstellung die Ausnutzung verhindern.)

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: NVD (NIST), cvelistv5, CISA KEV Catalog

Hersteller und Produkte

• Progress Software Progress Telerik UI for ASP.NET AJAX

Weakness-Klassen (CWE)

• CWE-502Deserialization of Untrusted Data

  Base

  The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

  Eintrag bei MITRE CWE-502

Quellen & Referenzen

• telerik.comsupport/whats-new/release-historyRelease Notes, Herstellerhinweis
• codewhitesec.blogspot.com2019/02/telerik-revisited.htmlNicht anwendbar
• telerik.comsupport/kb/aspnet-ajax/details/allows-javascriptserializer-dese…Patch, Herstellerhinweis
• github.combao7uo/RAU_cryptoExploit, Hinweis Dritter
• know.bishopfox.comresearch/cve-2019-18935-remote-code-execution-in-telerik-uiExploit, Hinweis Dritter
• github.comnoperator/CVE-2019-18935Exploit, Hinweis Dritter
• packetstormsecurity.comfiles/155720/Telerik-UI-Remote-Code-Execution.htmlHinweis Dritter, Schwachstellendatenbank
• telerik.comsupport/whats-new/aspnet-ajax/release-history/ui-for-asp-net-aj…Release Notes
• packetstormsecurity.comfiles/159653/Telerik-UI-ASP.NET-AJAX-RadAsyncUpload-Deserializa…Exploit, Hinweis Dritter, Schwachstellendatenbank
• bleepingcomputer.comnews/security/us-federal-agency-hacked-using-old-telerik-bug-to…Presse
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2019-18935government-resource, US-Behörde