Unraid

Die Schwachstelle betrifft Unraid, ein Betriebssystem für Netzwerkspeicher (NAS) und Server, das vor allem zur Verwaltung von Speicher- und Virtualisierungssystemen eingesetzt wird. Ursache ist der unsichere Einsatz der PHP-Funktion „extract“, die externe Eingaben in Variablen umwandelt, ohne sie ausreichend zu prüfen. Ein Angreifer kann dieses Verhalten missbrauchen, um eigenen Code aus der Ferne auf dem System auszuführen – und zwar mit Root-Rechten, also den höchsten Systemrechten und damit der vollständigen Kontrolle über das Gerät. Besonders gefährlich wird die Lücke in Kombination mit einer weiteren Unraid-Schwachstelle: Während diese den erstmaligen Zugang verschafft, hebelt der hier beschriebene Defekt anschließend die Rechtebeschränkungen aus. Da Unraid-Systeme häufig große Datenmengen und virtuelle Maschinen verwalten, kann eine erfolgreiche Übernahme weitreichende Folgen für gespeicherte Daten und angebundene Dienste haben.