Unified Data Protection (UDP)

Die Schwachstelle betrifft die Datensicherungslösung Unified Data Protection (UDP) von Arcserve. Es handelt sich um einen sogenannten Directory-Traversal-Fehler: Über zwei verwundbare Servlets – das Report-Servlet und das Export-Servlet – lässt sich ein speziell präparierter Dateipfad einschleusen. Da die Software die übergebenen Pfadangaben nicht ausreichend prüft, kann ein Angreifer aus dem vorgesehenen Verzeichnis ausbrechen und auf Dateien außerhalb davon zugreifen. Der Angriff funktioniert aus der Ferne über das Netzwerk. Auf diese Weise kann ein Angreifer entweder vertrauliche Informationen aus dem System auslesen oder einen Ausfall des Dienstes herbeiführen und so die Verfügbarkeit der Datensicherung stören. Betroffen sind Installationen, bei denen diese Servlets über das Netzwerk erreichbar sind. Da UDP zentral für Backups eingesetzt wird, kann der unbefugte Zugriff auf dort verarbeitete Dateien besonders sensible Daten offenlegen.