sentinel-aidefense/cve-2025-10035CVE-2025-10035 Forschungsbericht
Forschungsbericht von Sentinel AI Defense. Nur defensive Analyse – es wird kein funktionierender Exploit oder PoC veröffentlicht.
Eine perfekte Deserialisierungskette in Fortra GoAnywhere MFT: Eine gefälschte Lizenzantwort-Signatur ermöglicht einem nicht authentifizierten Angreifer, ein beliebiges Objekt zu deserialisieren und eine Befehlseinschleusung auf dem Dateiübertragungsserver zu erreichen.
📄 Vollständiger Bericht: https://sentinelaidefense.com/posts/cve-2025-10035-goanywhere-deserialization.html
CVE-2025-10035 ist eine kritische Deserialisierungsschwachstelle im Lizenz-Servlet von Fortra GoAnywhere Managed File Transfer (MFT). Sie ermöglicht es einem Akteur mit einer gültig gefälschten Lizenzantwort-Signatur, ein beliebiges angreifergesteuertes Objekt zu deserialisieren, was zu Befehlseinschleusung und nicht authentifizierter Remote-Codeausführung (RCE) führt.
Der Fehler hat einen CVSS-Score von 10.0 (Critical). Er wurde am 18. September 2025 offengelegt und aufgrund aktiver Ausnutzungsrisiken schnell in den CISA KEV-Katalog aufgenommen. Diese Schwachstelle ist aufgrund ihrer hohen Auswirkungen auf verwaltete Dateiübertragungssysteme, die sensible Daten verarbeiten, bemerkenswert.
Patches wurden im September 2025 veröffentlicht. Cloud-gehostete MFTaaS-Instanzen wurden von Fortra aktualisiert. Frühere Versionen (einschließlich einiger noch unterstützter) sind anfällig, wenn das Lizenz-Servlet exponiert ist.
Die Schwachstelle liegt in der Lizenzvalidierungslogik innerhalb des Lizenz-Servlets. Die Komponente versäumt es, serialisierte Objekte in gefälschten Lizenzantworten ordnungsgemäß zu bereinigen und zu validieren, selbst wenn eine Signatur vorhanden ist. Dies ermöglicht unsichere Java-Deserialisierung von angreifergesteuerten Gadgets, die zu einer Befehlseinschleusung im zugrunde liegenden Betriebssystem führen können.
Es handelt sich um eine Kombination von Problemen, einschließlich einer Zugriffskontrollumgehung (in früheren Versionen bekannt) und unsicherer Handhabung deserialisierter Objekte. Der Angriff erfordert keine vorherige Authentifizierung, wenn der Servlet-Endpunkt erreichbar ist. Forscher bezeichneten ihn als eine „perfekte“ CVSS-10.0-Kette mit hoher Zuverlässigkeit.
Die Ausnutzung ist nicht authentifiziert und kann remote erfolgen. Kurz nach der Offenlegung wurden Scan- und Ausnutzungsversuche beobachtet, was mit Mustern übereinstimmt, die bei früheren GoAnywhere-Vorfällen gesehen wurden.
/license oder ähnlichen Pfaden).Fortra empfiehlt, Protokolle auf Kompromittierungsindikatoren zu überprüfen.
Siehe das Fortra-Sicherheitsbulletin und CISA für vollständige Listen.
Aufgrund der kritischen Natur und der Tatsache, dass GoAnywhere in der Vergangenheit ins Visier genommen wurde (z.B. von CL0P in früheren Jahren), priorisieren Sie das Patchen und eine forensische Überprüfung, wenn eine Exposition vermutet wird.
Dieses Repository wird nur zu defensiven und Bildungszwecken veröffentlicht. Es enthält Analysen, Erkennungslogik und Abhilfeanleitungen. Es wird kein funktionsfähiger Exploit-Code bereitgestellt. Verwenden Sie diese Informationen nur auf Systemen, die Sie testen und verteidigen dürfen.
Gepflegt von Sentinel AI Defense · Erkenntnisse werden verantwortungsvoll im Rahmen koordinierter Offenlegung geteilt.