Triofox

Die Schwachstelle betrifft Triofox von Gladinet, eine Plattform für sicheren Datei- und Fernzugriff auf Unternehmensdaten. Ursache ist eine fehlerhafte Zugriffskontrolle (Improper Access Control): Die Seiten der Ersteinrichtung bleiben auch dann noch erreichbar, wenn die Installation bereits abgeschlossen ist. Eigentlich sollten diese Setup-Seiten nach der Inbetriebnahme gesperrt sein, da sie grundlegende Konfigurationsschritte des Systems steuern. Weil sie weiterhin zugänglich bleiben, kann ein Angreifer sie erneut aufrufen und dabei Vorgänge auslösen, die normalerweise nur einmalig der berechtigten Erstkonfiguration vorbehalten sind. Dadurch lässt sich die Einrichtung der Anwendung unbefugt beeinflussen. Betroffen sind Installationen von Triofox, die bereits eingerichtet wurden und deren Setup-Bereich nach wie vor offen ist – insbesondere dann, wenn die Verwaltungsoberfläche über das Netz erreichbar ist und der Setup-Pfad einem Angreifer ohne weitere Hürden zur Verfügung steht.