Server

In TrueConf Server, einer Server-Software für Videokonferenzen, besteht eine Schwachstelle vom Typ Code-Injection. Angreifbar ist ein über das Netzwerk erreichbarer Dienst, der auf einem bestimmten TCP-Port lauscht. Ein Angreifer benötigt weder gültige Zugangsdaten noch eine Anmeldung: Es genügt, den entsprechenden Netzwerkport zu erreichen. Über ein speziell präpariertes Skript kann er aus der vorgesehenen isolierten Ausführungsumgebung ausbrechen – also aus der Sandbox, die eingeschleuste Skripte eigentlich vom übrigen System abschirmen soll – und anschließend beliebigen Code direkt auf dem zugrunde liegenden Hostsystem ausführen. Damit ist nicht nur die Konferenzsoftware selbst betroffen, sondern der gesamte Server, auf dem sie läuft; ein Angreifer kann dort Programme starten, Daten auslesen oder verändern und sich weiter im Netzwerk ausbreiten. Betroffen sind mehrere Versionsreihen der Server-Software.