Podatności TeamDavid Webbox

Aplikacja TeamDavid Webbox udostępnia endpoint /internalRestart, który pozwala na wyłączenie serwera. Endpoint jest dostępny dla nieuwierzytelnionych użytkowników przez publiczny internet, a zamiast restartu serwer całkowicie się wyłącza. Atakujący może w ten sposób spowodować trwałą odmowę usługi, a przywrócenie działania wymaga ręcznej interwencji administratora.

Endpoint API w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora. Wysłanie specjalnie spreparowanego ciała JSON (co najmniej 8 znaków, zaczynającego się od cyfry) przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W zależności od stanu stosu lub możliwości ujawnienia canary, przepełnienie bufora może potencjalnie prowadzić do zdalnego wykonania kodu i pełnego przejęcia serwera.

Endpoint //serverClient_close.html w aplikacji TeamDavid Webbox jest podatny na przepełnienie bufora w wielu parametrach danych formularza. Przesyłanie nadmiernie długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.

Funkcjonalności przesyłania plików w aplikacji TeamDavid Webbox są podatne na przepełnienie bufora. Podanie nadmiernie długiej nazwy pliku w żądaniu przesyłania pliku przez nieuwierzytelnionego atakującego może spowodować awarię serwera i odmowę usługi. W sprzyjających warunkach przepełnienie bufora może być wykorzystane do zdalnego wykonania kodu i pełnego przejęcia serwera.

Aplikacja TeamDavid Webbox ma podatność na wyciek pamięci, która pozwala nieautoryzowanemu aktorowi na odczyt wrażliwych informacji. Dostęp do URL „/.well-known/mta-sts.” powoduje, że aplikacja odpowiada zawartością pamięci. Poprzez wielokrotne żądania tego endpointu atakujący może uzyskać dostęp do wrażliwych informacji, w tym haseł użytkowników. Eksploitacja nie wymaga uwierzytelnienia.

Aplikacja TeamDavid Webbox używa twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem. Każdy użytkownik mający dostęp do systemu plików serwera lub mogący w inny sposób wyodrębnić pliki z serwera (patrz podatność „Random File Read”) może potencjalnie uzyskać hasła dotkniętych użytkowników.

Podatność na trwały XSS w aplikacji TeamDavid Webbox. Atakujący może wysłać e-mail zawierający złośliwy kod JavaScript, który zostanie wykonany, gdy użytkownik otworzy wiadomość.

Podatność na odbity XSS w aplikacji TeamDavid Webbox. Poprzez wysłanie specjalnie spreparowanego linku z dowolną ścieżką, payloadem XSS lub parametrem 'EntryInfo' oraz parametrem '!templateName=entryMail', atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku.

Podatność na otwarte przekierowanie w aplikacji TeamDavid Webbox poprzez parametr 'replyUrl'. Atakujący może stworzyć link w aplikacji, który po odwiedzeniu przekierowuje przeglądarkę użytkownika na dowolną stronę trzeciej strony, co może być wykorzystane do ataków phishingowych.

Aplikacja TeamDavid Webbox firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL "cType", co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Ze względu na brak ograniczeń dla znaków kontrolnych, takich jak zakodowane znaki nowej linii ("%0a") czy dwukropki, atakujący mogą wstrzykiwać dodatkowe nagłówki, w tym dodatkowe nagłówki Location, co prowadzi m.in. do podatności na otwarte przekierowanie. Problem dotyczy TeamDavid do wersji Rollout 524.

Aplikacja TeamDavid Webbox obsługuje zmiany haseł za pomocą funkcji wyzwalanej przez dodanie ciągu „(editini)” w ścieżce pliku, zapisując nowe hasło do wskazanego pliku „Archive.ini”. Jednak aplikacja nie weryfikuje, czy podana ścieżka faktycznie odnosi się do pliku „Archive.ini”. Jeśli atakujący wskaże inny plik o nadmiernym rozmiarze, dochodzi do przepełnienia bufora. Ta podatność pozwala nieuwierzytelnionemu atakującemu na awarię serwera i odmowę usługi.

Aplikacja TeamDavid Webbox jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie do istniejących plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting.

Funkcjonalność przenoszenia archiwum ("!ArcEntryMove") w TeamDavid Webbox akceptuje dowolną ścieżkę, którą można ustawić na lokalizacje sieciowe za pomocą ścieżek UNC (np. "\\Serwer\Udział"). Serwer przetwarza te ścieżki bez walidacji, co prowadzi do prób połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Eksploatacja parametru "pathname" jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid do wersji Rollout 524.

Funkcjonalność wysyłania e-maili, faksów, SMS-ów itp. w TeamDavid Webbox akceptuje polecenie @@INCLUDE, które można ustawić na lokalizacje sieciowe za pomocą ścieżek UNC (np. "\\Serwer\Udział"). Serwer przetwarza te ścieżki bez walidacji, co prowadzi do prób połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Eksploatacja parametru "pathname" jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid do wersji Rollout 524.

Funkcjonalność przechowywania linków (//ServerClient_celink.htm) w TeamDavid Webbox akceptuje parametr "pathname", który można ustawić na lokalizacje sieciowe za pomocą ścieżek UNC (np. "\\Serwer\Udział"). Serwer przetwarza te ścieżki bez walidacji, co prowadzi do prób połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Eksploatacja parametru "pathname" jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid do wersji Rollout 524.

Funkcja wyszukiwania w aplikacji TeamDavid Webbox akceptuje parametr „pathnameroot”, który może być ustawiony na lokalizacje sieciowe przy użyciu ścieżek UNC (np. „\\Serwer\Udział”). Serwer przetwarza te ścieżki bez walidacji, co powoduje próby połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to nieuwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Jeśli połączenia wychodzące na port 445 (SMB) są dozwolone, atakujący mogą przeprowadzić ataki typu SMB relay lub kradzież poświadczeń. Eksploitacja parametru „pathnameroot” jest możliwa bez uwierzytelnienia.

Podatność na przechodzenie po katalogach w funkcji tworzenia archiwów w TeamDavid Webbox. Atakujący może manipulować ścieżką archiwum, co pozwala na tworzenie folderów w dowolnych lokalizacjach, w tym w katalogach wrażliwych, takich jak C:\Windows.

TeamDavid Webbox nie egzekwuje kontroli uwierzytelniania ani autoryzacji podczas udostępniania plików dziennika. W rezultacie atakujący mogą uzyskać wrażliwe informacje o błędach lub wewnętrzne szczegóły aplikacji, co może ułatwić dalsze ataki. Problem dotyczy TeamDavid do wersji Rollout 524.

Podatność na lokalne dołączanie plików w funkcji wysyłania wiadomości (e-mail, faks, SMS) w TeamDavid Webbox. Poprzez użycie komendy '@@attach' w polu 'scjob' można dołączyć pliki, a filtr ograniczający dostęp do folderów konfiguracyjnych i użytkownika można obejść, używając alternatywnych strumieni danych, co umożliwia pobranie wrażliwych plików, takich jak pliki dostępowe innych użytkowników z hasłami lub klucz prywatny serwera.

TeamDavid Webbox jest podatny na wstrzykiwanie nagłówków HTTP przez treść żądania w funkcji przechowywania linków (//ServerClient_celink.htm), która jest dołączana do celu przekierowania w odpowiedzi HTTP 302. Jeśli dodany zostanie znak nowej linii, zostanie on również dodany do linku przekierowania, co umożliwia kontrolę nad nagłówkami odpowiedzi. Problem dotyczy TeamDavid do wersji Rollout 524.

Webbox TeamDavid firmy Tobit Laboratories AG konstruuje adresy URL przekierowań na podstawie danych dostarczonych przez użytkownika, które są dołączane do celu przekierowania w odpowiedzi HTTP 302. Używając zakodowanych znaków URL, takich jak "%2e" (reprezentujących kropkę), atakujący może manipulować częścią adresu URL po domenie najwyższego poziomu (TLD). Jeśli istnieje podobna, rejestrowalna domena TLD (na przykład, jeśli aplikacja używa ".com", a ".company" jest dostępna do rejestracji), atakujący może stworzyć adres URL przekierowujący użytkowników do złośliwej domeny ".company". Używając zakodowanych znaków nowej linii, możliwe jest wstawienie dowolnych nagłówków odpowiedzi w odpowiedzi HTTP serwera. Problem dotyczy TeamDavid do wersji Rollout 524.

Podatność na dowolne usuwanie plików w funkcji wysyłania wiadomości (e-mail, faks, SMS) w TeamDavid Webbox. Poprzez użycie komendy '@@COMMENTFILE' w polu 'scjob' można usunąć dowolny plik w systemie.