Mehrere Schwachstellen in Serv-U Secure File Sharing

SQL-Injection führt zu root-Rechten

In der Dateiaustauschplattform Serv-U Secure File Sharing des Herstellers SolarWinds konnten die IT-Security Consultants Franz Jahn und Philipp Buchegger mehrere, teils kritische Schwachstellen finden. Durch Ausnutzung einer der behobenen Schwachstellen war es möglich, administrative Berechtigungen auf der Dateiaustauschplattform zu erlangen.

 

Die vier identifizierten Schwachstellen werden nach Angaben des Herstellers durch einen Hotfix behoben.

 

Im einzelnen handelt es sich um folgende Arten von Lücken:

 

  • SQL-Injection, über die root-Rechte erlangt werden konnten
  • Cross-Site Scripting
  • Fälschen des E-Mail-Absenders
  • E-Mail-Header-Injection

 

Detaillierte Informationen zu den gefundenen Schwachstellen finden Sie in unseren Security Advisories SYSS-2015-042, SYSS-2015-043SYSS-2015-044 und SYSS-2015-045


Termine

28.02.2019
Secu6: Planung und Durchführung von Penetrationstests
05.03.2019 - 07.03.2019
Secu2: Incident Response
12.03.2019 - 14.03.2019
Hack3: Angriffe auf Windows-basierte Netzwerke
19.03.2019 - 22.03.2019
Hack1/Hack2: Hacking Workshop