Controllers

Die Schwachstelle steckt im Aviatrix Controller, der zentralen Verwaltungskomponente für Cloud-Netzwerke. Sie beruht darauf, dass vom Benutzer übermittelte Eingaben nicht ordnungsgemäß bereinigt werden, bevor sie als Bestandteil eines Betriebssystembefehls verarbeitet werden. Dadurch lassen sich Sonderzeichen, sogenannte Shell-Metazeichen, in bestimmte Parameter der Programmierschnittstelle einschleusen – konkret über Felder, die eigentlich nur den Cloud-Typ angeben sollen. Auf diesem Weg gelangen fremde Befehle in die zugrunde liegende Befehlsausführung. Ausnutzen lässt sich das aus der Ferne und ohne vorherige Anmeldung: Ein unauthentifizierter Angreifer kann beliebigen Code auf dem System ausführen und damit die Kontrolle über den Controller übernehmen. Da der Controller die Vernetzung und Sicherheitsrichtlinien mehrerer Cloud-Umgebungen steuert, betrifft eine Übernahme nicht nur das einzelne Gerät, sondern potenziell die gesamte darüber verwaltete Infrastruktur.