CVE-2019-18935
Progress Telerik UI for ASP.NET AJAX bis einschließlich 2019.3.1023 enthält eine .NET-Deserialisierungsschwachstelle in der RadAsyncUpload-Funktion. Diese ist ausnutzbar, wenn die Verschlüsselungsschlüssel aufgrund des Vorhandenseins von CVE-2017-11317 oder CVE-2017-11357 oder anderer Mittel bekannt sind. Die Ausnutzung kann zu Remotecodeausführung führen. (Ab 2020.1.114 verhindert eine Standardeinstellung den Exploit. In 2019.3.1023, aber nicht in früheren Versionen, kann eine Nicht-Standardeinstellung die Ausnutzung verhindern.)
Aktiv ausgenutzt
- Seit dem 03.11.2021 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 03.05.2022 beheben (BOD 22-01)
- Erster Angriff 147 Tage nach der Veröffentlichung beobachtet
- Durch Sensoren bestätigt, nicht nur durch Meldungen
- In Ransomware-Kampagnen eingesetzt
Apply updates per vendor instructions.
Quelle: CISA KEV · 28.09.2026 28.09.2026 27.09.2026 25.09.2026 17.09.2026 15.09.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| telerik | ui for asp.net ajax | <= 2020.1.114 |
Verwandte Artikel
Öffentliche Telerik-RadAsyncUpload-Exploit-Kette führt über Padding Oracle zu unauthentifizierter RCE
Öffentlicher Telerik-RadAsyncUpload-Exploit nutzt Padding Oracle für unauthentifizierte RCE: Voraussetzungen, Angriffsablauf und Fix in 2026.2.708.
SPECTRE, die Backdoor, die EDRs ausschaltet: Einblick in das Arsenal von UAT-10147
UAT-10147 nutzt die neue Backdoor SPECTRE, die EDRs per BYOVD ausschaltet. Einblick in Angriffs-Toolset, Kernel-Rootkit und KI-gestützte Angriffsstrategien.
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.