August 2025 Threat Report: Blitzschnell und Hochriskant

Der August 2025 Threat Report unterstreicht, wie schnell hochriskante Schwachstellen zu aktiven Bedrohungen werden. Schwachstellen von Citrix, Fortinet, N-able und Trend Micro wurden innerhalb weniger Tage ausgenutzt. Andere kritische Probleme traten in häufig anvisierter Software wie Microsoft Exchange auf. Mainstream Enterprise Anwendungen wie Docker Desktop, Git und Zoom waren diesen Monat ebenfalls neuen Schwachstellen ausgesetzt. Schauen wir uns nun einige der größten Cyber Bedrohungen an, die im August 2025 zum Vorschein kamen.

Trio hochriskanter Citrix NetScaler CVEs: Eine in aktiver Ausnutzung

Citrix wies auf die aktive Ausnutzung von CVE-2025-7775 und zwei weiterer Hochrisiko-CVEs hin. Das Trio betrifft NetScalerADC und NetScaler Gateway in diversen Konfigurationen. Bisher wurde lediglich CVE-2025-7775 in CISA’s Katalog bekannter, ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Mehrere nationale CERT-Warnungen wurden weltweit erteilt [1][2][3][4][5][6][7]. Die Installation aktueller Patches wird dringend empfohlen.

• CVE-2025-7775 (CVSS 9.8, EPSS ≥92. Perzentil): Ein Speicherüberlauf (Memory-Overflow) [CWE-119] ermöglicht Ausführung von Remote Code (Remote-Code-Execution, RCE) oder Denial of Service (DoS), wenn NetScaler als Gateway (VPN-Virtual-Server, ICA-Proxy, CVPN, RDP-Proxy) oder AAA-Virtual-Server konfiguriert ist.
• CVE-2025-6543 (CVSS 9.8): Speicherüberlauf [CWE-119] führt zu unbeabsichtigtem Kontrollfluss und DoS, wenn NetScaler als Gateway (VPN-Virtual-Server, ICA-Proxy, CVPN, RDP-Proxy) oder AAA-Virtual-Server konfiguriert ist.
• CVE-2025-7776 (CVSS 8.8): Speicherüberlauf [CWE-119] führt zu unvorhersehbarem Verhalten und DoS, wenn NetScaler als Gateway (VPN-Virtual-Server, ICA-Proxy, CVPN, RDP-Proxy) mit einem PC-over-IP (PcoIP)-Profil konfiguriert ist. PcoIP ist ein Remote-Display-Protokoll für den Zugriff auf virtuelle Desktops.

Erst im Juni 2025 wurde eine weitere, hochriskante Schwachstelle in NetScaler ADC und Gateway unter dem Namen „CitrixBleed 2“ bekannt, die kurz nach Bekanntgabe aktiv für Ransomware-Angriffe ausgenutzt wurde. Greenbones OPENVAS ENTERPRISE FEED beinhaltet einen remote Versionserkennungstest für die drei neuen CVEs sowie für CitrixBleed 2.

Notfall-Patch für Microsoft Exchange Hybridbereitstellung

CVE-2025-53786 (CVSS 8.0) ist eine hochriskante Post-Authentifizierungs-Schwachstelle zur Rechteausweitung in Microsoft Exchange Hybrid-Umgebungen. In einer Hybridbereitstellung wird eine lokale Active Directory (AD)-Domäne mit einer cloudbasierten Azure AD synchronisiert; beide erkennen Geräte und Dienste. Im Falle einer Ausnutzung von CVE-2025-53786 können Angreifende mit Admin-Zugang zu einem lokalen Exchange Server lateral auf Microsoft 365 Exchange Online zugreifen [CWE-287] und potenziell den Authentifizierungsprozess modifizieren, um Persistenz zu erreichen [T1556.007].

Ausnutzbarkeit, darunter Authentifizierungsumgehung, laterale Bewegung [TA0008] und Datenexfiltration [TA0010], wurde auf der Black Hat 2025 demonstriert. Obwohl keine reale Ausnutzung festgestellt wurde, wies Microsoft eine erhöhte Ausnutzungswahrscheinlichkeit zu. CISA gab eine Notfall-Direktive (ED 25-02) aus und warnte, CVE-2025-53786 könne zu vollständiger Kompromittierung von Domänen in Hybridumgebungen führen. Diverse staatliche CERT-Agenturen gaben ebenfalls Warnungen aus [1][2][3][4][5][6][7]. Der OPENVAS ENTERPRISE FEED beinhaltet zwei remote Versionserkennungstests zur Erkennung anfälliger Instanzen von Microsoft Exchange [8][9].

Dringende Sicherheitswarnung zu Cisco Secure Firewall Management Center

CVE-2025-20265 (CVSS 10) in eine RCE-Sicherheitslücke (Remote Code Ausführung) in physischen und virtuellen Appliances von Cisco Secure Firewall Management Center (FMC). Sie tritt auf, wenn eine Appliance mit RADIUS für web-basierte Authentifizierung oder Management-Zugang via SSH konfiguriert ist. Die Schwachstelle entsteht durch unangemessene Eingabeverarbeitung, was nachgelagert zu Befehls-Injektion im Authentifizierungsprozess führen kann [CWE-74]. Unauthentifizierte Angreifende können möglicherweise beliebige Shell-Befehle einschleusen und mit erhöhten Rechten ausführen lassen.

Frei zugänglicher Exploit-Code oder aktive Angriffe wurden bisher nicht gemeldet. Allerdings waren Cisco-Edge-Devices in der Vergangenheit bereits häufig Ziele für APT-Gruppen [1][2][3]. In Anbetracht der Tatsache, dass sich Cisco FMC häufig am Netzwerkrand befindet und CVE-2025-20265 ein CVSS-Wert von 10 zugewiesen wurde, besteht dringender Handlungsbedarf für betroffene Systeme.  Cisco hat Sicherheitsupdates veröffentlicht und gleichzeitig erklärt, dass keine Workarounds verfügbar seien, das Deaktivieren der RADIUS-Authentifizierung allerdings eine vorübergehende Risikominderung darstellen könne. Greenbones OPENVAS ENTERPRISE FEED beinhaltet einen remote Versionserkennungstest, um ungepatchte FMC-Geräte aufzuspüren.

FortiSIEM ausgenutzt und weitere Hochrisiko-CVEs in Fortinet-Produkten

Fortinet war im August das Subjekt mehrerer schwerwiegender Schwachstellen. Insgesamt wurden für Fortinet 14 CVEs veröffentlicht — davon sechs mit hoher bis kritischer CVSS-Stufe. Einige nationale CERT-Agenturen behandelten die drei schwerwiegendsten CVEs dieser Gruppe [1][2][3], während sich andere lediglich auf die gravierendste Schwachstelle konzentrierten — CVE-2025-25256 [4][5][6][7][8] — welche von Fortinet als aktiv ausgenutzt gemeldet wurde. Auch hier steht Greenbone mit Versionserkennungstests und aktiven Tests  im OPENVAS ENTERPRISE FEED zur Seite, um FortiSIEM-Geräte zu identifizieren, die für CVE-2025-25256 anfällig sind. Zudem sind eine Reihe spezialisierter Tests für Fortinet-Schwachstellen enthalten, unter anderem folgende:

• CVE-2025-25256 (CVSS 9.8, EPSS ≥ 95. Perzentil): Fehlerhafte Neutralisierung spezieller Elemente in einem Betriebssystembefehl [CWE-78] ermöglicht unauthentifizierten Angreifenden aus der Ferne, über Anfragen an den phMonitor-Dienst auf TCP-Port 7900 unautorisierten Code auszuführen. Fortinet bestätigt aktive Ausnutzung. Eine vollständige technische Beschreibung sowie Proof-of-Concept (Machbarkeitsnachweis, PoC) sind verfügbar. FortiSIEM 5.4 und diverse Unterversionen von FortiSIEM 6 und 7 sind betroffen.
• CVE-2024-26009 (CVSS 8.1): Eine Umgehung der Authentifizierung über alternative Pfade oder Kanäle [CWE-288] ermöglicht unauthentifizierten Angreifenden, die Kontrolle über verwaltete Geräte zu übernehmen. Dies geschieht durch den Einsatz spezieller FortiGate-to-FortiManager-Protokoll (FGFM)-Anfragen. Für einen erfolgreichen Angriff muss das FortiGate-Gerät durch einen Fortimanager verwaltet werden, dessen Seriennummer der angreifenden Person oder Gruppe bekannt ist. Mehrere Versionen von FortiOS, FortiPAM und FortiSwitchManager sind betroffen.
• CVE-2025-52970 (CVSS 8.1): Eine fehlerhafte Parameterbehandlung [CWE-233] ermöglicht unauthentifizierten entfernten Angreifenden, die über vertrauliche Informationen zum Zielgerät und einen bestehenden User verfügen, sich mittels einer speziell präparierten HTTP-Anfrage als beliebige User anzumelden. Mehrere Unterversionen von FortiWeb 7 sind betroffen.

Zwei neue N-Able CVEs rasant aktiv ausgenutzt

Zwei neue CVEs bezüglich N-Ables N-central stellen ein hohes Risiko für Unternehmen dar, welche die Software verwenden. Beide CVEs wurden zu CISAs KEV-Katalog hinzugefügt und nationale CERT-Warnungen wurden von NCSC.nl [1], dem Kanadischen Cyber Centre [2] und Südkoreas K_CERT [3] ausgegeben. N-central ist eine Plattform für Monitoring und Management aus der Ferne (RMM), die großflächig eingesetzt wird um Netzwerke und Systeme zu überwachen und zu verwalten. Obwohl die Ausnutzung beider Schwachstellen eine Authentifizierung erfordern besteht erhöhtes Risiko durch gestohlene Zugangsdaten [TA0006], Passwort-Wiederverwendung [T1078], Insider-Bedrohungen und weiterer potenzieller Angriffsvektoren.

• CVE-2025-8876 (CVSS 8.8, EPSS ≥ 95. Perzentil): Ungesäuberte Eingaben werden in OS-Shell-Befehle injiziert [CWE-78], was Remote-Code-Ausführung (RCE) mit den Rechten der N-Central-Anwendung ermöglicht.
• CVE‑2025‑8875 (CVSS 7.8, EPSS ≥ 93. Perzentil): Unsichere Deserialisierung unkontrollierter Daten [CWE-502] kann es Angreifenden ermöglichen, sogenannte Objekt-“Gadget“-Ketten zu konstruieren, welche beliebige RCE oder unautorisierte Änderungen am Anwendungszustand ermöglichen.

N-central Versionen vor 2025.3.1 sind betroffen. Einen Tag nach Veröffentlichung der CVEs berichtete Shadowserver über ~1.000 ungepatchte N-central Server, die ans öffentliche Internet exponiert waren. Zwei Wochen später waren die meisten davon weiterhin nicht aktualisiert. Der OPENVAS ENTERPRISE FEED kann anfällige Versionen von N-central aus der Ferne erkennen, was Verteidigungsteams schnelle und gezielte Risikominderung ermöglicht.

Angriff auf neue kritische Trend Micro Apex One Schwachstelle

CVE-2025-54948 (CVSS 9.8, EPSS ≥ 94. Perzentil) und CVE-2025-54987 (CVSS 9.8, EPSS ≥ 63. Perzentil) sind nicht authentifizierte RCE-Schwachstellen, welche die lokale (on-premises) Trend Micro Apex One Management Konsole betreffen. Beide CVEs basieren auf der selben Sicherheitslücke, betreffen allerdings verschiedene CPU-Architekturen. Das zugrundeliegende Problem ist eine Schwachstelle, die es Angreifenden ermöglicht, durch das Hochladen präparierter Dateien vor der Authentifizierung Befehle ins Betriebssystem zu injizieren [CWE-78]. Ein kompromittiertes Gerät gibt Angreifenden direkten Zugriff auf die Sicherheitsinfrastruktur des angegriffenen Unternehmens. Erfolgreiche Ausnutzung erfordert Zugriff, entweder direkt oder aus der Ferne, was ans Internet exponierte Instanzen einem besonderen Risiko aussetzt. Lokale Instanzen könnten Angreifenden zusätzlich eine Gelegenheit für laterale Bewegung [TA0008] liefern, nachdem sie initial [TA0001] über das Netzwerk des Opfers Zugang erhalten haben.

Trend Micro zufolge, ist aktive Ausnutzung zu befürchten und CISA hat CVE-2025-54948 zum KEV-Katalog hinzugefügt, wo es sich zu vielen weiteren ausgenutzten Apex One Sicherheitslücken gesellt, die bis 2021 zurückreichen. Nationale CERT-Warnungen wurden von Regierungsbehörden weltweit ausgegeben [1][2][3][4][5]. Apex One (on-premises) 2019 (14.0) Version 14.0.0.14039 und darunter sind betroffen. Bitte beachten Sie die offizielle Sicherheitswarnung, welche ein Tool zur Deaktivierung der Remote Install Agent Funktion bereitstellt, für Anweisungen zu Gegenmaßnahmen. Greenbones OPENVAS ENTERPRISE FEED hilft Ihnen, betroffene Endpunkte lokal aufzuspüren.

Git-Repository-Kloning Schwachstelle aktiv ausgenutzt

CVE-2025-48384 (CVSS 8.0, EPSS ≥ 88. Perzentil), früh im Juli 2025 veröffentlicht, wurde zu CISAs KEV-Katalog hinzugefügt und die Ausnutzbarkeit wurde als trivial eingestuft. Die Schwachstelle beschreibt einen beliebigen Dateischreibvorgang beim Klonen eines speziell präparierten Repositories, das Submodule mit der ‚recursive‘ flag verwendet — beispielsweise git clone –recursive <repo> — eine Option, die Submodule beim Klonen automatisch mitlädt. Die Ursache der Schwachstelle liegt in der fehlerhaften Behandlung nachgestellter Wagenrücklaufzeichen (Carriage Return, CR) in Konfigurationswerten, was potenziell zu RCE führen kann. Zur Ausnutzung müssen Angreifende ihre Opfer dazu bringen, ein solches präpariertes Git-Repository zu klonen.

Eine vollständige technische Beschreibung und Exploits mit bösartigen .gitmodules-Dateien sind bereits online verfügbar [1][2][3].  INCIBE-CERT hat eine Warnung herausgegeben [4] und CISA hat die Schwachstelle auf die KEV-Liste gesetzt [5].  Betroffen sind diverse Versionen von Git bis 2.50.0. Der OPANVAS ENTERPRISE FEED und der OPENVAS COMMUITY FEED enthalten lokale Paket-Erkennungstests für CVE-2025-48384.

Container Escape in Docker Desktop für Windows und macOS

CVE-2025-9074 (CVSS 9.3) ist eine Container-Escape-Schwachstelle in Docker für Windows und macOS. Die Schwachstelle ermöglicht es Angreifenden, bei der Ausführung eines bösartigen Containers unautorisierten Zugriff auf das Host-System des Opfers zu erlangen. Wie sich herausstellte war die Docker Engine API ohne Authentifizierung via TCP/IP unter 192.168.65.7:2375 zugänglich. Dieser Kanal umgeht gängige Socket-Beschränkungen und macht somit Dockers Enhanced Container Isolation (ECI) wirkungslos. Unter Windows können Angreifende System-DLLs einhängen und überschreiben, um volle administrative Kontrolle zu erlangen. Auf macOS ist der Zugriff auf das Host-Dateisystem aufgrund von Schutzmechanismen des Betriebssystems stärker eingeschränkt. Linux-Instanzen sind nicht betroffen.

Proof-of-Concepts zeigen triviale Ausnutzbarkeit — bereits wenige Zeilen Python oder eine simple HTTP-Anfrage können anfällige Instanzen von Docker Desktop kompromittieren. Ein detaillierter technischer Bericht, die Existenz von mindestens einem öffentlichen Exploit und die verbreitete Nutzung von Docker erhöhen das Risiko von CVE-2025-9074. Ein Versionserkennungstest für Windows-Installationen ist im OPENVAS ENTERPRISE FEED enthalten.

Kritische Schwachstelle im Zoom Client für Windows ermöglicht unauthentifizierte RCE

CVE-2025-49457 (CVSS 9.6) betrifft mehrere Zoom-Produkte für Windows, darunter Zoom Workplace, VDI, Rooms, Rooms Controller und Meeting SDK vor Version 6.3.10. Grund für die Sicherheitslücke ist eine Unsichere-Suchpfad-Schwachstelle [CWE-426], die auf fehlerhafte Behandlung von DLL-Pfaden zurückgeht. Als „DLL-Side-Loading“ bekannt tritt diese Lücke auf, wenn die Windows-API-Funktion LoadLibrary() ohne einen vollständig qualifizierten Dateipfad aufgerufen wird. In diesem Fall folgt Windows der standardmäßigen DLL-Suchreihenfolge. Wenn Angreifende eine Datei in einem so durchsuchten Verzeichnis ablegen können, wird diese somit geladen und ausgeführt. Daher ist CVE-2025-49457 in Verbindung mit Social-Engineering-Angriffen [T1566] und Insider-Bedrohungen, die auch 2025 weiterhin verbreitet sind, besonders gefährlich. Ausnutzung ermöglicht Angreifenden Rechteausweitung und die Ausführung beliebigen Codes, potenziell auf Windows-SYSTEM-Level.

Malaysias MyCERT [1] und Hongkongs CERT-HK [2] gaben Sicherheitshinweise heraus. Das Problem ist in Zoom Versionen 6.3.10 und folgend behoben, Organisationen sollten dringend den Aktualisierungsstatus prüfen. Obwohl einige Desktop-Anwendungen, darunter auch Zoom, automatische Updates unterstützen, ist in ausgedehnten IT-Infrastrukturen die manuelle Prüfung durch Sicherheitsteams unabdingbar. Der OPENVAS ENTERPRISE FEED automatisiert dies mittels aktiver Prüfung auf anfällige Zoom-Anwendungen.

Zusammenfassung

Der August 2025 Threat Report beleuchtet neue hochriskante Schwachstellen über diverse, weit verbreitete Plattformen hinweg. Verteidigungsteams hatten letzten Monat alle Hände voll zu tun, um wehrhaft zu bleiben gegen die aktive Ausnutzung von Citrix NetScaler kurz nach CitrixBleed 2, einer dringenden Aktualisierung von Microsoft Exchange, einer maximal schweren Cisco Secure Firewall CVE und dem Auftreten von Fortinet, N-able und Trend Micro Exploits. Neue Docker Desktop, Git und Zoom Schwachstellen kamen hierbei erschwerend hinzu. Greenbones OPENVAS SECURITY INTELLIGENCE entlastet Verteidigungsteams durch schnelle Erkennung und Gewissheit über den Sicherheitsstatus Ihres Unternehmens.