Mobile-Menu

Hyland OnBase Maximal kritische Sicherheitslücke in Automatisierungstool

Von Melanie Staudacher 1 min Lesedauer

Eine RCE-Sicherheitslücke in Hylands Automatisierungslösung OnBase mit dem höchst möglichen CVSS Score, erlaubt Angreifern die Ausführung beliebigen Codes mit Systemrechten. Betroffen sind Versionen vor 17.0.2.87, ein Update auf 24.1 wird empfohlen.

Im schlimmsten Falle können Cyberangreifer Remote Code auf Systemen installieren, die von der Apache-Tomcat-Schwachstelle betroffen sind.(Bild: Sohail - stock.adobe.com)
Im schlimmsten Falle können Cyberangreifer Remote Code auf Systemen installieren, die von der Apache-Tomcat-Schwachstelle betroffen sind.
(Bild: Sohail - stock.adobe.com)

In der Auto­mati­sier­ungsplattform „OnBase“ von Hyland klafft eine kritische Sicherheitslücke, die den maximalen CVSS-Wert von 10.0 erreicht. In den OnBase-Versionen vor 17.0.2.87 besteht die Möglichkeit, dass Cyberangreifer Remote Code ausführen. OnBase ist die Workflow-Auto­matisierungslösung des US-Herstellers Hyland. Sie wird vor allem dazu verwendet, papier­basierte Prozesse zu digitalisieren.

RCE und unsichere Deserialisierung

Auf GitHub finden sich sowohl eine Beschreibung der Sicherheitslücke wie auch ein Proof of Concept (PoC). Bei CVE-2025-34153 handelt es sich um eine RCE-Schwachstelle (Remote Code Execution), die auf einem Deserialisierungsfehler basiert.

Konkret ist der auf Port 6031 registrierte .NET-Remoting-TCP-Kanal davon betroffen. Dabei wird die Herkunft von Objekten vor dem Umwandeln nicht geprüft und ermöglicht es Angreifern, Remote Code im Kontext des höchstprivilegierten Windows-Kontos NT AUTHORITY\SYSTEM zu installieren.

Neben den eindeutig betroffenen Versionen von OnBase, die älter als Version 17.0.2.87 sind, könnten auch andere Versionen der Lösung betroffen sein. Deshalb sollten Nutzer auf jeden Fall die Version 24.1 installieren, die CVE-2025-34153 behebt.

Proof of Concept

Der PoC erläutert, wie der Exploit abläuft:

  • Zuerst wird mit „ysoserial.exe“ eine spezielle Payload für den „BinaryFormatter“ erstellt, die den Gadget-Typ „TypeConfuseDelegate“ nutzt, um auf dem Zielserver Remote Code Execution auszulösen.
  • In dem Beispiel lässt diese Payload den Server den Befehl „whoami“ lokal ausführen und das Ergebnis – also den aktuell genutzten Dienstaccount – in der Datei „C:\temp\whoami.txt“ speichern.
  • Die zuvor mit „ysoserial.exe“ erzeugte Payload wird Base64-codiert und als Argument an „ExploitRemotingService.exe“ übergeben.
  • Dieses Tool sendet die Payload dann direkt über den .NET Remoting TCP-Kanal auf Port 6031. Das Ziel ist der bekannte URI-Endpunkt TimerServer, der in der Datei Hyland.Core.Timers.dll registriert ist.
  • Dort wird die bösartige Payload deserialisiert, was den Befehl „whoami“ auf dem Server ausführt.

(ID:50515673)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte