Reddoxx: Angreifer können TÜV-geprüfte Mail-Archivierungssoftware kapern

[ad_1]

Ein einfacher Ping-Befehl, der über ein Admin-Interface ausgelöst wird lässt sich von jedermann aus der Ferne missbrauchen, um beliebigen Code auszuführen. So können Angreifer die E-Mail-Software für rechtssichere Archivierung übernehmen.

Mit Reddoxx können Firmen ihre E-Mails rechtssicher speichern und laut Hersteller beim Empfang der Mails vor Spam und Ransomware schützen. Nutzer der vom TÜV Saarland geprüften Software sollten allerdings unbedingt sicherstellen, dass sie mindestens Version 2032 SP2 einsetzen. Die Sicherheitsfirma RedTeam aus Aachen hat nämlich im Auftrag eines Kunden bei einem Penetration-Test der Software sieben Sicherheitslücken gefunden und dazu Details veröffentlicht, die der Hersteller mit dieser Version geschlossen hat.

Brisante Lücke

Die brisanteste der Sicherheitslücken missbraucht ein öffentlich zugängliches Interface der Administrationsfunktionen der Software, um beliebige Befehle auszuführen. Der Angreifer muss dafür nicht am System angemeldet sein. Das ist möglich, weil sich ein einfacher Aufruf des Ping-Befehls missbrauchen lässt. Durch einen Fehler in der Umsetzung des Befehlsaufrufs kann ein Angreifer beliebige andere Befehle anhängen. Zu allem Überfluss werden diese auch noch mit Root-Rechten ausgeführt – der Angreifer kann also das System komplett übernehmen.

Admin-Rechte

Weitere von RedTeam gefundene Lücken betreffen einen nicht dokumentierten Administrator-Account, mit dem Angreifer sich mit Admin-Rechten anmelden können. Außerdem ist es möglich, unberechtigter Weise Daten aus dem System auszulesen, auf geschützte Funktionen zuzugreifen und Cross-Site-Scripting-Angriffe durchzuführen. Eine Liste aller von RedTeam in Reddoxx entdeckten Lücken findet sich in der Liste der Advisories der Firma. (fab)

[ad_2]

Read more on: Source