LoadMaster

Die Schwachstelle betrifft die API von Progress LoadMaster, einem Load-Balancer bzw. Application Delivery Controller. Mehrere Endpunkte, die Kommandos verarbeiten, prüfen und bereinigen übergebene Eingaben nicht ausreichend. Dadurch lassen sich eigene Betriebssystembefehle in die Verarbeitung einschleusen (OS Command Injection). Ein Angreifer benötigt dafür keine gültigen Zugangsdaten: Der Zugriff ist unauthentifiziert möglich, und die eingeschleusten Befehle werden auf der LoadMaster-Appliance selbst ausgeführt. Damit ist Remote-Code-Ausführung auf dem Gerät möglich, was auf eine weitgehende Kontrolle über die Appliance hinausläuft. Da ein solches System als zentraler Verteilpunkt vor Anwendungen und Servern steht und dort auch Konfigurationen sowie TLS-Material verarbeitet werden, wirkt sich eine Übernahme nicht nur auf das Gerät selbst aus, sondern auf den gesamten darüber geleiteten Anwendungsverkehr. Betroffen sind Umgebungen, in denen die Verwaltungs-API erreichbar ist.