Remote Code Execution über Arbitrary File Upload in Erugo
Ein authentifizierter, niedrig privilegierter Nutzer kann in der Self-Hosted-Filesharing-Plattform Erugo beliebige Dateien in beliebige Pfade hochladen und darüber Schadcode im öffentlichen Web-Root ausführen - vollständige Kompromittierung der Instanz möglich.
Betroffene Software
- Produkt
- Erugo
- Betroffene Versionen
- <= 0.2.14
- Hersteller
- Erugo (ErugoOSS)
- CVSS-Vektor
- CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Technische Analyse
Erugo ist eine selbst gehostete Filesharing-Plattform, mit der Nutzer Dateien über Freigabe-Links austauschen können - konzipiert als datenschutzfreundliche Alternative zu klassischen Cloud-Transferdiensten. Die von AWARE7-Researcher Leon Phan entdeckte Schwachstelle CVE-2026-24897 gehört zu den kritischsten in dieser Übersicht, da sie direkt zur vollständigen Kompromittierung einer Instanz führen kann.
Beim Anlegen einer neuen Freigabe validiert Erugo den Zielpfad für hochgeladene Dateien nicht ausreichend - klassifiziert als CWE-434 (Unrestricted Upload of File with Dangerous Type) in Kombination mit CWE-22 (Path Traversal) und CWE-94 (Code Injection). Ein bereits authentifizierter, aber niedrig privilegierter Nutzer kann dadurch einen beschreibbaren Pfad innerhalb des öffentlichen Web-Roots als Ziel angeben und dort eine beliebige Datei, etwa ein PHP-Skript, ablegen.
Da der Web-Root von außen erreichbar ist, lässt sich die hochgeladene Datei anschließend direkt per HTTP-Aufruf ausführen. Damit erreicht der Angreifer Remote Code Execution im Kontext des Webservers - mit weitreichenden Folgen: Zugriff auf sämtliche gespeicherten Dateien, Manipulation der Anwendung und potenziell ein Sprungbrett in das umgebende Netzwerk.
Die Bewertung unterscheidet sich je nach Quelle deutlich: NIST bewertet mit 8.8 (High, unveränderter Scope), die GitHub-CNA-Bewertung liegt bei 10.0 (Critical, veränderter Scope) - Letztere berücksichtigt, dass die Auswirkung über die eigentliche Anwendung hinausgeht, da RCE auf Webserver-Ebene faktisch die gesamte zugrunde liegende Infrastruktur gefährdet. Der Hersteller hat die Schwachstelle mit Version 0.2.15 behoben, Advisory und Patch wurden zeitgleich veröffentlicht.
Empfohlene Maßnahmen
- Sofort: Update auf Version 0.2.15 durchführen
- Kurzfristig: Instanz bis zum Update nicht öffentlich erreichbar machen
- Langfristig: Regelmäßige Penetrationstests selbst gehosteter Anwendungen durchführen
Wir testen Ihre Web-Applikationen auf genau solche Schwachstellen. Erfahren Sie mehr über unsere Penetrationstests →
Responsible Disclosure Timeline
-
Patch veröffentlicht (Version 0.2.15) und Advisory zeitgleich publiziert
Empfohlene Gegenmaßnahmen
Sofortiges Update auf Erugo Version 0.2.15 oder höher. Bis zum Update sollte die Instanz nicht öffentlich erreichbar sein und Nutzer-Uploads sollten außerhalb des Web-Roots geprüft werden.
AWARE7 Leistung zum Thema
Schützen Sie Ihre Systeme proaktiv: Mit gezielten Penetrationstests identifizieren wir Schwachstellen wie diese frühzeitig und liefern konkrete Handlungsempfehlungen zur Behebung.
Web-Applikations-Penetrationstest
