Podatności AudioCodes Fax Server / Auto-Attendant IVR

W AudioCodes Fax Server i Auto-Attendant IVR do wersji 2.6.23 występuje luka polegająca na wstrzyknięciu poleceń w funkcji testowej faksu (TestFax.php). Uwierzytelniony atakujący może wstrzyknąć dodatkowe polecenia powłoki do generowanego pliku wsadowego, który jest wykonywany z uprawnieniami SYSTEM, co prowadzi do wykonania dowolnych poleceń. Dodatkowo, z powodu zbyt szerokich uprawnień do plików, lokalny użytkownik o niskich uprawnieniach może zmodyfikować oczekujące pliki wsadowe, aby uzyskać eskalację uprawnień.

W urządzeniach AudioCodes Fax Server i Auto-Attendant IVR do wersji 2.6.23 katalog webowy C:\F2MAdmin\F2E ma zbyt szerokie uprawnienia systemu plików. Uwierzytelnieni użytkownicy lokalni mają prawa modyfikacji, podczas gdy serwer WWW działa jako NT AUTHORITY\SYSTEM, co pozwala na utworzenie lub zmianę skryptów i wykonanie dowolnego kodu z uprawnieniami SYSTEM.

W urządzeniach AudioCodes Fax Server i Auto-Attendant IVR do wersji 2.6.23 komponent administracji webowej wywołuje skrypty batch pod C:\F2MAdmin\F2E\AudioCodes_files\utils\Services jako NT AUTHORITY\SYSTEM. Skrypty te są zapisywalne przez każdego uwierzytelnionego użytkownika lokalnego z powodu zbyt szerokich ACL, co pozwala na podmianę zawartości i wykonanie dowolnych poleceń jako SYSTEM przy następnej operacji usługi.

Urządzenia AudioCodes Fax Server i Auto-Attendant IVR w wersjach do 2.6.23 zawierają lukę nieuwierzytelnionego odczytu plików poprzez skrypt download.php. Endpoint nie ma kontroli dostępu, co pozwala zdalnym nieuwierzytelnionym użytkownikom pobierać pliki na podstawie parametrów ścieżki i nazwy pliku.