Multiple Products

Die Schwachstelle betrifft mehrere Präsentations- und Drahtlos-Display-Geräte von Crestron sowie baugleiche Produkte weiterer Hersteller. Ursache ist die HTTP-Schnittstelle file_transfer.cgi auf diesen Geräten, die übergebene Eingaben nicht ausreichend prüft. Dadurch lässt sich eine sogenannte Befehlsinjektion durchführen: Ein Angreifer schleust eigene Betriebssystembefehle in eine eigentlich harmlose Anfrage ein, die das Gerät dann ausführt. Der Angriff gelingt aus der Ferne und ohne vorherige Anmeldung – gültige Zugangsdaten sind nicht erforderlich. Die eingeschleusten Befehle laufen mit Root-Rechten, also den höchsten Systemrechten, sodass der Angreifer die vollständige Kontrolle über das Gerät erlangt. Betroffen sind die Präsentationssysteme von Crestron; dieselbe verwundbare Komponente steckt jedoch auch in vergleichbaren Geräten anderer Anbieter. Wo eine solche Verwaltungsschnittstelle aus dem Netz erreichbar ist, steht der Angriffsweg unmittelbar offen.