Rechteausweitung durch unsichere Standardkonfiguration im CI-Out-of-Office Manager (SYSS-2024-013)

Der CI-Out-of-Office Manager benötigt zum Betrieb ein hochprivilegiertes Benutzerkonto. Die entsprechenden Zugangsdaten werden verschlüsselt in einer Konfigurationsdatei gespeichert. Der hierzu verwendete Schlüssel ist im Programm hartkodiert.

Beim Betrieb der Software als Desktop-Anwendung von einer Netzwerkfreigabe (der bisher empfohlenen Standardkonfiguration) hat ein Nutzer somit sowohl Zugriff auf die verschlüsselte Konfiguration als auch (mittels Dekompilierung) auf den verwendeten Schlüssel. Somit können die Zugangsdaten des hochprivilegierten Kontos erlangt werden.

Um dies zu verhindern, wird der ausschließliche Betrieb mittels der Weboberfläche empfohlen.

Detaillierte Informationen zu diesen Schwachstellen finden Sie in unserem Security Advisory / You will find detailed information about this security issue in our Security Advisory:

• SYSS-2024-013 (CVE-2024-33849)

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.