Standardbenutzer und -passwort sowie extern erreichbarer Tomcat Manager in Airleader Master (SYSS-2020-033)

Im Webinterface der Airleader Master-Steuerungen werden schwache Standardpasswörter verwendet, außerdem ist das Verwaltungsinterface des verwendeten Tomcat-Servers von extern erreichbar. Ein Angreifer kann über den Tomcat Manager eigene Software auf den Server in Form einer *.war-Datei hochladen und somit eigenen Code ausführen.

Der Hersteller reagierte innerhalb der initalen Frist von 45 Tagen bis zur Veröffentlichung (gemäß unserer Responsible Disclosure Policy) nicht auf die Schwachstelle.

Die SySS GmbH empfiehlt, starke Passwörter für das Webinterface von Airleader Master zu vergeben und den Tomcat Manager generell nicht aus dem Internet erreichbar zu machen.

Detaillierte Informationen zu der gefundenen Schwachstelle finden Sie in unserem Security Advisory/You will find detailed information about the security issue in our Security Advisory:

• SYSS-2020-033

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.