Veraltete Software als Einfallstor: ShowDoc unter Beschuss
In der aktuellen Bedrohungslage zeigt sich einmal mehr ein altbekanntes, aber keineswegs gelöstes Problem: Eine bereits im Oktober 2020 gepatchte Sicherheitslücke in der Dokumentations- und Kollaborationsplattform ShowDoc wird nun aktiv im Internet ausgenutzt. Die Schwachstelle, registriert unter der Kennung CVE-2025-0520 (auch bekannt als CNVD-2020-26585), ermöglicht Angreifern das Hochladen und Ausführen beliebiger PHP-Dateien – ein klassischer und hochgefährlicher Remote Code Execution (RCE)-Angriff.
Mit einem CVSS-Score von 9.4 von 10.0 stuft die Vulnerability-Datenbank die Lücke als kritisch ein. Der zugrundeliegende Mechanismus ist ein Mangel an ordnungsgemäßer Validierung von Dateierweiterungen beim Upload. Fehlt diese Überprüfung, können Angreifer schädliche Dateien, sogenannte Web Shells, auf den Server laden und dort nahezu beliebigen Code ausführen. Wie das Sicherheitsforschungsteam von Vulhub in einem Advisory warnt, betrifft dies alle ShowDoc-Versionen vor 2.8.7 – und die Lücke erfordert nicht einmal eine Authentifizierung.
Von der Theorie in die Praxis
Neue Erkenntnisse von Caitlin Condon, Vice President of Security Research bei VulnCheck, bestätigen, dass CVE-2025-0520 nun erstmals aktiv in der Wildnis ausgenutzt wird. Konkret wurde beobachtet, wie Angreifer die Schwachstelle nutzten, um eine Web Shell auf einem US-amerikanischen Honeypot abzulegen, der eine verwundbare ShowDoc-Version betrieb.
ShowDoc ist eine Open-Source-Lösung, die besonders in China als Tool für API-Dokumentation und Teamzusammenarbeit weit verbreitet ist. Laut Daten von VulnCheck sind weltweit über 2.000 ShowDoc-Instanzen öffentlich erreichbar, der Großteil davon in China. Doch die geografische Konzentration ändert nichts an der globalen Bedrohung: Jedes ungeschützte System ist ein potenzielles Ziel.
Das N-Day-Problem: Wenn Patches ignoriert werden
Die aktuelle Entwicklung ist ein weiteres Lehrstück für die Problematik von N-Day-Schwachstellen. Ein N-Day ist eine Sicherheitslücke, für die bereits ein Patch existiert, die aber dennoch von Angreifern erfolgreich ausgenutzt wird. Die Gründe dafür sind vielfältig: fehlende Update-Strategien, Unwissenheit über installierte Softwarekomponenten oder schlichte Nachlässigkeit.
Im Fall von ShowDoc ist die Situation besonders frustrierend. Die Version 2.8.7, die das Problem behebt, wurde bereits im Oktober 2020 veröffentlicht. Die aktuellste Version trägt die Nummer 3.8.1. Wer heute noch eine Version vor 2.8.7 betreibt, hängt nicht nur technisch, sondern auch konzeptionell Jahre hinterher. Die Realität zeigt jedoch: Solange Systeme erreichbar sind, werden sie angegriffen – unabhängig von der Größe der Installationsbasis.
Was Administratoren jetzt tun müssen
Die Lösungsansätze für dieses Problem sind offensichtlich, erfordern aber konsequente Umsetzung:
- Sofortiges Update: Jeder, der ShowDoc einsetzt, sollte umgehend auf die aktuelle Version 3.8.1 aktualisieren. Es gibt keinen Grund, eine über fünf Jahre alte, kritische Lücke offen zu lassen.
- Systeme inventarisieren: IT-Teams müssen wissen, welche Software in ihrer Infrastruktur läuft. Nur wer seine Anwendungen kennt, kann bei neuen Bedrohungen schnell reagieren.
- Netzwerksegregierung: Dokumentationsplattformen wie ShowDoc sollten nicht unnötig im öffentlichen Internet exponiert sein. Ein VPN oder interne Netzwerke reduzieren die Angriffsfläche erheblich.
- Monitoring: Wer ShowDoc im Einsatz hat, sollte Server-Logs auf ungewöhnliche Upload-Aktivitäten oder unbekannte PHP-Dateien überprüfen.
Fazit: Die alte Gefahr ist oft die größte
Die aktive Ausnutzung von CVE-2025-0520 ist ein Warnruf. Es zeigt, dass Angreifer nicht zwingend nach den neuesten Zero-Day-Lücken suchen. Oft reicht ein Blick in die Vergangenheit, um ausreichend Material für erfolgreiche Angriffe zu finden. Die Langlebigkeit von N-Day-Schwachstellen ist ein zentrales Problem der IT-Sicherheit. Der Patch für ShowDoc existiert seit über einem halben Jahrzehnt – die Weigerung, ihn einzusetzen, ist kein Versehen mehr, sondern fahrlässig.
Wer Software betreibt, trägt Verantwortung. Und diese Verantwortung beginnt damit, Updates nicht als lästige Pflicht, sondern als elementaren Bestandteil der IT-Sicherheit zu begreifen.
Quelle: The Hacker News
