Zwei Schwachstellen in File Transfer-Lösung Qiata von Secudos (SYSS-2020-024/-025)

Die Secure File Transfer-Lösung "Qiata" weist in den "DOMOS"-Betriebssystemversionen kleiner gleich 5.8 und in den "Qiata"-Applikationsversionen vor 2.00.00 zwei Sicherheitslücken auf. Bei der ersten Lücke handelt es sich um eine Persistent Cross-Site Scripting-Schwachstelle, die es einem Angreifer erlaubt, schadhaften JavaScript-Code in die Kommentare eines Transfers einzubetten.

Die zweite Sicherheitslücke ist eine Command Injection-Schwachstelle, die einem am Verwaltungsdashboard angemeldeten Angreifer die Möglichlkeit gibt, beliebige Systembefehle als "Root" auszuführen. So kann es zu einer vollständigen Kompromittierung des Systems kommen.

Die Sicherheitsschwachstellen sind in der Betriebssystemversion 5.8.1 und in der Applikationsversion 2.00.00 behoben worden.

Es wird empfohlen, die Secure File Transfer-Lösung auf den neuesten Stand zu bringen.

Detaillierte Informationen zu diesen gefundenen Schwachstellen finden Sie in unseren Security Advisories/You will find detailed information about these security issues in our Security Advisories:

• SYSS-2020-024: Persistent Cross-Site Scripting in "Qiata" Secure File Transfer
• SYSS-2020-025: Authenticated OS Command Injection mit Privilege Escalation in "DOMOS 5.8"

Weitere Informationen über unsere Responsible Disclosure Policy bei der Veröffentlichung von Security Advisories finden Sie hier.

You will find further information about our Responsible Disclosure Policy concerning the publishing process of SySS Security Advisories here.