HTTP File Server

Der Rejetto HTTP File Server ist eine Software, mit der Dateien über einen eigenen Webserver bereitgestellt und heruntergeladen werden können. In der verarbeitenden Template-Engine werden Sonderzeichen nicht ausreichend entschärft. Dadurch lassen sich über eine speziell präparierte HTTP-Anfrage eigene Anweisungen in die Vorlagenverarbeitung einschleusen (Template Injection). Der Server führt diese Anweisungen aus, sodass ein Angreifer beliebige Befehle auf dem betroffenen System ausführen kann. Der Angriff erfolgt aus der Ferne, benötigt keine Zugangsdaten und keine Mitwirkung eines Benutzers – es genügt, dass der Dienst über das Netz erreichbar ist. In der Praxis bedeutet das die Übernahme des Rechners, auf dem die Software läuft, samt Zugriff auf die dort abgelegten Dateien. Verschärfend kommt hinzu, dass die betroffene Programmlinie vom Entwickler nicht mehr unterstützt wird und somit keine Korrektur mehr erhält.