CVE-2025-58180

Zusammenfassung

OctoPrint stellt eine Weboberfläche zur Steuerung von Consumer-3D-Druckern bereit. OctoPrint-Versionen bis einschließlich 1.11.2 enthalten eine Schwachstelle, die es einem authentifizierten Angreifer ermöglicht, eine Datei mit einem speziell präparierten Dateinamen hochzuladen, was eine beliebige Befehlsausführung ermöglicht, wenn dieser Dateiname in einen Befehl aufgenommen wird, der in einem Systemereignishandler definiert ist, und dieses Ereignis ausgelöst wird. Wenn keine Ereignishandler konfiguriert sind, die Systembefehle mit hochgeladenen Dateinamen als Parametern ausführen, hat diese Schwachstelle keine Auswirkung. Die Schwachstelle ist in Version 1.11.3 behoben. Als Workaround sollten OctoPrint-Administratoren, die Ereignishandler konfiguriert haben, die irgendeine Art von dateinamenbasierten Platzhaltern enthalten, diese deaktivieren, indem sie deren `enabled`-Eigenschaft auf `False` setzen oder das Kontrollkästchen „Aktiviert" in der GUI-basierten Ereignisverwaltung deaktivieren. Alternativ sollten OctoPrint-Administratoren `feature.enforceReallyUniversalFilenames` in `config.yaml` auf `true` setzen und OctoPrint neu starten, anschließend die vorhandenen Uploads prüfen und sicherstellen, dass verdächtig aussehende Dateien gelöscht werden. Wie immer wird OctoPrint-Administratoren empfohlen, OctoPrint nicht in feindlichen Netzwerken wie dem öffentlichen Internet auszusetzen und zu prüfen, wer Zugriff auf ihre Instanz hat.

• CVE-2025-58180PoC

  In OctoPrint Version <=1.11.2 kann ein Angreifer mit Datei-Upload-Zugriff (z. B. gültiger API-Schlüssel oder Sitzung) einen bösartigen Dateinamen erstellen, der die Bereinigung umgeht und später vom Ereignissystem von OctoPrint ausgeführt wird, was zur Remote-Codeausführung (RCE) auf dem Host führt.