Output Messenger

Die Schwachstelle steckt in der Chat- und Messaging-Software Output Messenger von Srimax und beruht auf einer fehlerhaften Verarbeitung von Dateipfaden. Über Parameter, in die sich Verzeichniswechsel-Sequenzen (../) einschleusen lassen, kann ein Angreifer aus dem vorgesehenen Verzeichnis ausbrechen und auf Dateien zugreifen, die eigentlich außerhalb des freigegebenen Bereichs liegen. Auf diese Weise lassen sich vertrauliche Inhalte des Servers auslesen – etwa Konfigurationsdateien, die sensible Einstellungen oder Zugangsdaten enthalten können. Im weiteren Verlauf ermöglicht der Fehler einen weitreichenden, beliebigen Dateizugriff auf dem System. Da kein gültiges Benutzerkonto und keine besonderen Rechte vorausgesetzt werden, eignet sich die Lücke gut, um Informationen über die Zielumgebung zu sammeln und Folgeangriffe vorzubereiten. Betroffen sind Installationen der Server-Komponente von Output Messenger, über die der Datei- und Nachrichtenaustausch abgewickelt wird.