Server

Betroffen ist TrueConf Server, die Serverkomponente der Videokonferenzlösung. Die Software stellt über einen bestimmten Netzwerkdienst eine nicht dokumentierte Funktion bereit, die vor ihrer Ausführung keine Authentifizierung verlangt. Ein Angreifer, der den entsprechenden TCP-Port über das Netz erreichen kann, muss sich also weder anmelden noch über gültige Zugangsdaten verfügen: Er ruft die verborgene Funktion einfach auf und bringt den Server dazu, ein beliebiges Skript auszuführen. Damit lässt sich fremder Code auf dem System ausführen, was in der Praxis auf eine Übernahme des Konferenzservers und der darauf verarbeiteten Kommunikationsdaten hinauslaufen kann. Kritisch ist die Kombination aus fehlender Zugriffskontrolle und der Erreichbarkeit über das Netzwerk – überall dort, wo der betroffene Dienstport nicht durch Firewall-Regeln abgeschottet ist, steht der Angriffsweg unmittelbar offen. Es handelt sich um eine bekanntlich ausgenutzte Schwachstelle.