WhatsUp Gold

Die Schwachstelle steckt in der Netzwerküberwachungssoftware WhatsUp Gold von Progress, genauer in einer Funktion zum Exportieren und Bereitstellen von Dateien. Es handelt sich um einen Path-Traversal-Fehler: Durch manipulierte Pfadangaben lässt sich der vorgesehene Verzeichnisbereich verlassen und auf Stellen im Dateisystem zugreifen, die eigentlich nicht erreichbar sein sollten. Daraus ergibt sich die Möglichkeit zur Codeausführung aus der Ferne. Besonders kritisch ist, dass der Angriff weder gültige Zugangsdaten noch eine vorherige Anmeldung erfordert: Ein unauthentifizierter Angreifer kann eigene Befehle auf dem Server ausführen, und zwar mit den Rechten des zugehörigen Anwendungspool-Kontos im Webserver. Damit erlangt er die Kontrolle über die betroffene Installation. Da WhatsUp Gold zentral die gesamte Netzwerküberwachung übernimmt, betrifft eine Übernahme nicht nur den einzelnen Server, sondern die darüber verwaltete Infrastruktur.