KritischCVE-2023-40044

    Progress Software WS_FTP Server: Deserialisierung nicht vertrauenswürdiger Daten (CVE-2023-40044)

    Veröffentlicht In CISA KEV seit Quellen: SingCERT, pwn.watch, CVE.org

    Was ist betroffen, was ist zu tun

    Ein Angreifer kann durch eine Deserialisierungsverletzung in der Ad-Hoc-Transfer-Modul von Progress WS_FTP Server Versionen vor 8.7.4 und 8.8 bis 8.8.2 Remote-Befehle auf dem zugrunde liegenden Betriebssystem ausführen. Diese Schwachstelle erlaubt eine Remote-Code-Ausführung (RCE) für authentifizierte Benutzer. Sie wird aktuell in Ransomware-Kampagnen ausgenutzt, was die Dringlichkeit einer Reaktion erhöht. Betroffen sind spezifische Versionen des WS_FTP Servers. Ein sofortiger Patch auf Version 8.7.4 oder 8.8.2 ist erforderlich, um die Sicherheitslücke zu schließen.

    Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. CISA führt sie als in Ransomware-Kampagnen genutzte Schwachstelle. Aktualisieren Sie Progress Software WS_FTP Server auf Version 8.8.2, Progress Software WS_FTP Server auf Version 8.7.4. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

    Betroffen
    • Progress Software WS_FTP Server lt 8.8.0..8.8.2
    • Progress Software WS_FTP Server lt 8.7.0..8.7.4
    Behoben in
    • Progress Software WS_FTP Server 8.8.2
    • Progress Software WS_FTP Server 8.7.4

    Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

    Metriken

    10,0

    Priorität

    XIEM Effective CVSS: höchste verfügbare CVSS-Bewertung aus NVD- und Herstellerangaben.

    Quelle: Hersteller (CNA), CVSS v3

    10,0

    CVSS v3

    Schweregrad Kritisch auf der Skala von 0 bis 10.

    Quelle: SingCERT, pwn.watch, CVE.org

    90,4 %

    EPSS-Score

    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.

    Quelle: FIRST EPSS, Perzentil 99,80

    Alle Metriken anzeigen
    Schweregrad
    Kritisch
    Priorität (0–325)

    Der Priorisierungs-Score ist eine zusammengeführte Kennzahl, die mehrere Einzelsignale zu einer einzigen, handlungsleitenden Rangfolge verdichtet: technische Schwere (CVSS), Ausnutzungswahrscheinlichkeit (EPSS), der Status als bekannt ausgenutzt (KEV) und der Kontext des betroffenen Assets. Ziel ist die Antwort auf die einzig wirklich wichtige Frage im Schwachstellenmanagement: Was zuerst?

    Im Glossar lesen
    258.21 Methodik
    Exploit-Reife

    Ein Exploit ist Code oder eine Technik, die eine konkrete Schwachstelle gezielt ausnutzt, um ein unbeabsichtigtes Verhalten zu erzwingen — etwa Code auszuführen oder Rechte auszuweiten. Er ist das Werkzeug, das aus einer theoretischen Lücke einen praktischen Angriff macht.

    Im Glossar lesen
    aktiv ausgenutzt
    XIEM Effective CVSS

    XIEM® ist das gestufte Managed-Security-Betriebsmodell von NEOSEC und eine eingetragene Marke der NEOSEC GmbH. Es erweitert klassisches SIEM — die zentrale Sammlung, Normalisierung und Korrelation sicherheitsrelevanter Ereignisse — um Endpunkt-Forensik, Netzwerk-Sichtbarkeit und Täuschungstechnik und führt diese zu drei aufeinander aufbauenden Stufen zusammen: Sentry, Orchestrate und Command.

    Im Glossar lesen
    10,0 Methodik
    CVSS v3

    CVSS ist der weltweit verbreitete, offene Standard zur Bewertung der technischen Schwere einer Schwachstelle auf einer Skala von 0 bis 10. Er beschreibt, wie leicht eine Lücke ausnutzbar ist und welchen Schaden sie anrichten kann — nicht jedoch, wie wahrscheinlich ihre tatsächliche Ausnutzung ist. CVSS und das ergänzende EPSS beantworten bewusst unterschiedliche Fragen.

    Im Glossar lesen
    10,0
    EPSS-Score

    Der EPSS-Score ist der absolute Modell-Output für eine einzelne Schwachstelle: die geschätzte Wahrscheinlichkeit einer realen Ausnutzung in den nächsten 30 Tagen, ausgedrückt als Wert zwischen 0 und 1 (bzw. 0 % bis 100 %). Ein Score von 0,42 bedeutet „das Modell schätzt eine 42-prozentige Chance auf reale Ausnutzung binnen 30 Tagen“.

    Im Glossar lesen
    90,4 %
    Hoch – Modell schätzt ≥ 50 % Chance auf reale Ausnutzung in 30 Tagen.
    EPSS-Perzentil

    Das EPSS-Perzentil ist die relative Einordnung einer Schwachstelle innerhalb aller EPSS-bewerteten CVEs, ausgedrückt als Wert zwischen 0 und 1. Ein Perzentil von 0,90 bedeutet „diese CVE hat einen höheren EPSS-Score als 90 % aller anderen bewerteten CVEs“. Anders als der EPSS-Score ist es keine Wahrscheinlichkeit — sondern eine Positionierung im Ranking.

    Im Glossar lesen
    99,80
    Kritisch – CVE liegt im obersten Fünftel aller heute bewerteten CVEs (Rang ≥ 80 %).
    KEV-Status

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    Aktiv ausgenutzt
    Veröffentlicht
    In CISA KEV seit

    Der KEV-Katalog ist eine von der US-Behörde CISA gepflegte Liste von Schwachstellen, für die eine aktive Ausnutzung in der Praxis nachgewiesen ist. Er beantwortet nicht die Frage „wie schwer?“, sondern „wird es bereits angegriffen?“ — und priorisiert damit das Patchen scharf.

    Im Glossar lesen
    CWE

    CWE ist ein Katalog typischer Schwächen-Arten in Software und Hardware — etwa fehlerhafte Eingabevalidierung, unsichere Speicherbehandlung oder mangelhafte Authentisierung. Während eine CVE eine konkrete Schwachstelle in einem konkreten Produkt benennt, beschreibt eine CWE die zugrunde liegende Fehlerklasse.

    Im Glossar lesen
    CWE-502

    Behebung und Mitigation

    Warum sofort handeln?

    Priorisierung

    Diese Schwachstelle steht auf der KEV-Liste, weil sie unauthentifiziert über das Netz ausnutzbar ist, direkte Remote Code Execution mit den Rechten des WS_FTP-Dienstes liefert und innerhalb weniger Tage nach Veröffentlichung von Ransomware-Gruppen (CISA-Flag „known ransomware use") in Massen-Scans eingesetzt wurde. Das Angriffsprofil entspricht dem der MOVEit-Welle 2023: internet-exponierte Managed-File-Transfer-Server mit zugehörigen sensiblen Geschäftsdaten sind das Primärziel, Mid-Market und KRITIS-Betreiber mit Lieferanten-Datenaustausch besonders gefährdet. Die Exploitierungswahrscheinlichkeit zählt zu den höchsten im gesamten CVE-Bestand — Priorität P1/Notfall-Patch sofern WS_FTP überhaupt im Einsatz ist, unabhängig davon ob der Server intern oder extern erreichbar scheint (interne Pivot-Ketten sind dokumentiert).

    1. Schritt 1 im Runbook

      Sofort-Response (0-24 h)

      • Patch sofort einspielen: WS_FTP Server auf Version 8.7.4 (Branch 8.7) bzw. 8.8.2 (Branch 8.8) oder höher aktualisieren. Progress stellt die Fixes unter dem Advisory vom 27.09.2023 bereit — Download aus dem Progress Community-Portal.
      • Falls Patch nicht binnen Stunden möglich: Ad Hoc Transfer Module über den WS_FTP Konfigurationsmanager deaktivieren (dies entfernt die verwundbare .NET-Deserialisierungs-Komponente), anschliessend IIS-Site neu starten.
      • Management- und Transfer-Endpunkte (typisch TCP/80, TCP/443, TCP/21, TCP/990 sowie der konfigurierte Admin-Port) am Perimeter blockieren und ausschliesslich über VPN oder IP-Allowlist erreichbar machen, bis der Patch verifiziert ist.
      • Forensische Triage auf allen WS_FTP-Hosts: IIS-Logs, wftpsvc-Verzeichnisse und WFTPServer-Prozessbaum gegen bekannte Indikatoren (ysoserial.net-Gadgets, unerwartete w3wp.exe-Child-Prozesse) prüfen. Bei Treffern Host isolieren und als kompromittiert behandeln.
      • Dienstkonto des WS_FTP-Service, lokale Administrator-Credentials, in der Konfiguration hinterlegte SMTP/DB-Credentials sowie TLS-Zertifikate rotieren, falls Exploit-Spuren oder Lücken im Audit-Zeitraum existieren.

    2. Schritt 2 im Runbook

      Mitigation-Layer

      • Netzsegmentierung: WS_FTP in eine dedizierte DMZ-VLAN, strikt egress-gefiltert — insbesondere ausgehende Verbindungen von w3wp.exe und WFTPServer.exe zu beliebigen Ports blockieren (C2-Callback-Prävention).
      • WAF/Reverse-Proxy vor WS_FTP: POST-Requests gegen /AHT/AhtApi/*, /AHT/*.aspx und Multipart-Bodies mit __VIEWSTATE- oder base64-kodierten BinaryFormatter-Signaturen (AAEAAAD/////) blockieren oder zumindest alarmieren.
      • IPS-Signaturen aktivieren: Snort/Suricata-Regeln für CVE-2023-40044 (u.a. ET 2048026, 2048027) bzw. Vendor-Signaturen von Palo Alto, Fortinet, Cisco Talos einspielen.
      • Endpoint-Härtung: Windows Defender Attack Surface Reduction aktivieren („Block Office/Script child processes" greift bei w3wp.exe → cmd.exe/powershell.exe-Chains). AppLocker/WDAC-Regel: w3wp.exe darf keine Shells oder LOLBins (certutil, bitsadmin, mshta) starten.
      • Least Privilege: WS_FTP-Service-Account als lokales, nicht privilegiertes Konto betreiben (kein Domain-Admin, kein lokaler Admin), separate gMSA empfohlen. Keine zwischengespeicherten Admin-Sessions auf dem Host.
      • Backup der Konfiguration und TLS-Keys offline verifizieren — bei Ransomware-Nutzung dieser Klasse werden Transfer-Server häufig als initialer Zugangsvektor verwendet.

    3. Schritt 3 im Runbook

      Detection-Regeln

      • Sysmon EID 1 / EDR-Prozessbaum: w3wp.exe als Parent von cmd.exe, powershell.exe, rundll32.exe, regsvr32.exe oder certutil.exe — hochsignifikant auf WS_FTP-Hosts. KQL: DeviceProcessEvents | where InitiatingProcessFileName == "w3wp.exe" and FileName in ("cmd.exe","powershell.exe","rundll32.exe").
      • IIS Access Logs: POST-Requests auf /AHT/AhtApi/postAuthUser oder /AHT/* mit ungewöhnlich grossen Content-Length-Werten (> 5000 Bytes) und User-Agents wie python-requests oder leer. Splunk: index=iis cs_uri_stem="/AHT/*" cs_method=POST cs_bytes>5000.
      • Netzwerk-Telemetrie (Zeek/Suricata): Ausgehende Verbindungen aus WS_FTP-Host zu Pastebin, transfer.sh, raw.githubusercontent.com oder nicht-geschäftlichen IPs direkt nach einem POST auf /AHT/.
      • Dateisystem-Monitoring: Neue .aspx-, .ashx- oder .dll-Dateien in C:\Program Files (x86)\Ipswitch\WS_FTP Server\ oder in IIS-Webroots — Sysmon EID 11 mit entsprechendem Pfad-Filter.
      • Windows Security EID 4688 / 4624: Neue lokale Accounts oder Dienstanmeldungen nach verdächtigem IIS-Traffic; Scheduled-Task-Erstellung (EID 4698) durch den WS_FTP-Service-Account.

    Erkennungsregeln

    Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

    Einordnung nach NIS2 und CRA

    Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

    NIS2

    NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

    Im Glossar lesen
    Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).
    CRA

    Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

    Im Glossar lesen
    Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.
    ISO/IEC 27001

    ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

    Im Glossar lesen
    Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

    Beschreibung

    In Versionen von WS_FTP Server vor 8.7.4 und 8.8.2 könnte ein Angreifer, der sich nicht authentifizieren muss, eine .NET Deserialisierungsanfälligkeit im Ad-Hoc-Transfer-Modul ausnutzen, um auf dem zugrunde liegenden Betriebssystem des WS_FTP Servers entfernte Befehle auszuführen.

    Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

    Quelle: CSA/SingCERT, pwn.watch, NVD (NIST), cvelistv5, CISA KEV Catalog, CVE.org (MITRE)

    Betroffene Produkte

    Betroffen sind die folgenden Versionen. Ältere Stände derselben Reihe sind ebenfalls verwundbar, sofern nicht anders angegeben.

    Betroffene Produkte
    Betroffene VersionenBehoben in
    Progress Software CorporationWS_FTP Server
    • 8.7.0 – < 8.7.4
    • 8.8.0 – < 8.8.2
    • 8.7.4
    • 8.8.2
    progressws_ftp_server
    • < 8.7.4
    • 8.8 – < 8.8.2
    • 8.7.4
    • 8.8.2

    Hersteller und Produkte

    Weakness-Klassen (CWE)

    • CWE-502Deserialization of Untrusted Data

      Base

      The product deserializes untrusted data without sufficiently ensuring that the resulting data will be valid.

      Eintrag bei MITRE CWE-502

    Öffentliche Exploit-Referenzen

    Öffentlich gemeldete Proof-of-Concepts, Exploit-Module und Detection-Templates zu dieser Schwachstelle. NEOSEC verlinkt ausschließlich auf die Originalquellen und stellt keinen Exploit-Code bereit.

    Öffentliche Exploit-Referenzen
    CISA KEV CatalogCISA Known Exploited Vulnerability (öffnet in neuem Tab)cisa.govaktiv ausgenutzt
    Referenz mit Exploit-Kennzeichnungassetnote.io (öffnet in neuem Tab)PoC (öffentlich gemeldet)gemeldet, nicht verifiziert—
    Packet StormProgress Software WS_FTP Unauthenticated Remote Code Execution (öffnet in neuem Tab)packetstormsecurity.comPoC (öffentlich gemeldet)gemeldet, nicht verifiziert—

    Quellen & Referenzen

    • progress.comws_ftpProdukt, Produkt
    • community.progress.comVendor advisory: Progress WS_FTP ServerHerstellerhinweis, Herstellerhinweis, pwn-watch
    • theregister.com2023/10/02/ws_ftp_updatePresse, Hinweis Dritter
    • rapid7.comblog/post/2023/09/29/etr-critical-vulnerabilities-in-ws_ftp-ser…Link defekt, Hinweis Dritter
    • attackerkb.comtopics/bn32f9sNax/cve-2023-40044Hinweis Dritter
    • censys.comcve-2023-40044Hinweis Dritter
    • assetnote.ioresources/research/rce-in-progress-ws-ftp-ad-hoc-via-iis-http-m…Exploit, Hinweis Dritter
    • packetstormsecurity.comfiles/174917/Progress-Software-WS_FTP-Unauthenticated-Remote-Co…Exploit, Hinweis Dritter, Schwachstellendatenbank
    • cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2023-40044government-resource, US-Behörde
    • pwn.watchpwn.watch: Progress WS_FTP Server: Deserialization of Untrusted Data (CVE-2023-40044)pwn-watch
    • NVD (NIST)NVD: CVE-2023-40044pwn-watch
    • cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch
    Badge einbetten

    Zeigen Sie Schweregrad und KEV-Status dieser Schwachstelle auf Ihrer Seite – mit Link hierher. Das Bild wird stündlich aktualisiert.

    Badge-Vorschau für CVE-2023-40044
    <a href="https://intel.neosec.eu/cve/CVE-2023-40044"><img src="https://intel.neosec.eu/badge/cve/CVE-2023-40044.svg" alt="CVE-2023-40044 – NEOSEC Intel" height="20"></a>