Podatności TeamDavid Webbox

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid udostępnia funkcję umożliwiającą wyłączenie serwera po uzyskaniu dostępu do punktu końcowego /internalRestart. Punkt ten jest dostępny dla niezalogowanych użytkowników przez publiczny internet. Zamiast restartu serwer całkowicie się wyłącza, co pozwala zdalnemu atakującemu na trwałą odmowę usługi bez uwierzytelnienia. Przywrócenie działania wymaga ręcznej interwencji administratora.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy API podatny na przepełnienie bufora. Wysyłając specjalnie spreparowane dane JSON, niezalogowany atakujący może spowodować awarię serwera, co prowadzi do odmowy usługi. W pewnych warunkach przepełnienie bufora może potencjalnie umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera punkt końcowy //serverClient_close.html podatny na przepełnienie bufora w wielu parametrach danych formularza. Wysyłanie zbyt długich wartości w tych parametrach przez uwierzytelnionego atakującego może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera funkcje przesyłania plików podatne na przepełnienie bufora. Podanie zbyt długiej nazwy pliku w żądaniu przesyłania może spowodować awarię serwera, prowadząc do odmowy usługi. W pewnych warunkach może to umożliwić zdalne wykonanie kodu i pełne przejęcie serwera.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na wyciek pamięci do nieautoryzowanego aktora. Dostęp do URL „/.well-known/mta-sts.” powoduje odpowiedź z zawartością pamięci. Wielokrotne żądania tego punktu mogą ujawnić wrażliwe informacje, w tym hasła użytkowników. Eksploatacja nie wymaga uwierzytelnienia.

W aplikacji Webbox firmy Tobit Laboratories AG TeamDavid występuje podatność polegająca na użyciu twardo zakodowanego klucza kryptograficznego. Hasła użytkowników tworzonych lokalnie w David są przechowywane w różnych plikach tylko z zaciemnieniem, co oznacza, że każdy użytkownik mający dostęp do systemu plików serwera lub mogący wyodrębnić pliki z serwera może potencjalnie uzyskać hasła użytkowników.

Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG zawiera podatność na odzwierciedlony atak XSS. Wysyłając specjalnie spreparowany link zawierający dowolną ścieżkę, payload XSS lub parametr „EntryInfo” oraz parametr „!templateName=entryMail”, atakujący może spowodować wykonanie payloadu w przeglądarce ofiary po kliknięciu linku. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Aplikacja Webbox w TeamDavid firmy Tobit Laboratories AG jest podatna na wstrzykiwanie nagłówków HTTP przez parametr URL „cType”, co pozwala na dowolną modyfikację nagłówka Content-Type w odpowiedziach HTTP. Parametr nie ogranicza odpowiednio znaków kontrolnych, takich jak zakodowane w URL znaki nowej linii („%0a”) czy dwukropki, co umożliwia atakującemu wstrzyknięcie dodatkowych nagłówków, w tym dodatkowych nagłówków Location, do odpowiedzi serwera. Skutkuje to m.in. podatnością na otwarte przekierowanie. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid zawiera podatność na przepełnienie bufora podczas zmiany hasła, gdy w ścieżce pliku znajduje się ciąg "(editini)". Aplikacja nie weryfikuje, czy podana ścieżka faktycznie wskazuje plik "Archive.ini", co pozwala atakującemu na wskazanie innego pliku o nadmiernym rozmiarze i spowodowanie przepełnienia bufora. Nieuwierzytelniony atakujący może doprowadzić do awarii serwera, powodując odmowę usługi.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na dowolny zapis plików, co pozwala nieuwierzytelnionemu atakującemu na tworzenie lub zapisywanie plików na serwerze z treścią kontrolowaną przez atakującego. Jest to możliwe, ponieważ dane wejściowe użytkownika są zapisywane bezpośrednio do plików bez odpowiedniej walidacji lub ograniczeń typów plików. W rezultacie atakujący może tworzyć pliki (np. .htm) zawierające złośliwy kod JavaScript. Gdy użytkownik uzyska dostęp do tak utworzonego pliku, wyzwalany jest przechowywany cross-site scripting. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona, więc podatności nie są już narażone.

Funkcjonalność przenoszenia archiwum („!ArcEntryMove”) w Webbox TeamDavid firmy Tobit Laboratories AG akceptuje dowolną ścieżkę, która może być ustawiona na lokalizacje sieciowe przy użyciu ścieżek UNC (np. „\\Serwer\Udział”). Serwer przetwarza te ścieżki bez walidacji, co powoduje próby połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Jeśli połączenia wychodzące na port 445 (SMB) są dozwolone, atakujący mogą wykorzystać to do ataków typu SMB relay lub kradzieży poświadczeń. Eksploatacja parametru „pathname” jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Funkcjonalność wysyłania e-maili, faksów, SMS-ów itp. w Webbox TeamDavid firmy Tobit Laboratories AG akceptuje polecenie @@INCLUDE, które może być ustawione na lokalizacje sieciowe przy użyciu ścieżek UNC (np. „\\Serwer\Udział”). Serwer przetwarza te ścieżki bez walidacji, co powoduje próby połączeń wychodzących do kontrolowanych przez atakującego serwerów SMB. Umożliwia to uwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Jeśli połączenia wychodzące na port 445 (SMB) są dozwolone, atakujący mogą wykorzystać to do ataków typu SMB relay lub kradzieży poświadczeń. Eksploatacja parametru „pathname” jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Funkcja wyszukiwania w Webbox firmy Tobit Laboratories AG TeamDavid akceptuje parametr „pathnameroot”, który może być ustawiony na lokalizacje sieciowe przy użyciu ścieżek UNC (np. „\\Serwer\Udział”). Serwer przetwarza te ścieżki bez walidacji, co powoduje próby połączeń wychodzących do serwerów SMB kontrolowanych przez atakującego. Umożliwia to nieuwierzytelnionym atakującym wywołanie uwierzytelnienia serwera do dowolnych punktów końcowych SMB, potencjalnie ujawniając informacje uwierzytelniające NTLM (takie jak hasze NTLM). Jeśli połączenia wychodzące na port 445 (SMB) są dozwolone, atakujący mogą wykorzystać to do ataków typu SMB relay lub kradzieży poświadczeń. Eksploatacja parametru „pathnameroot” jest możliwa bez uwierzytelnienia. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Webbox firmy Tobit Laboratories AG TeamDavid jest podatny na podatność typu path traversal w funkcji tworzenia archiwum. Ponieważ ścieżka archiwum jest kontrolowana przez użytkownika i niewystarczająco walidowana, atakujący może manipulować danymi wejściowymi, aby przechodzić przez katalogi. Pozwala to na tworzenie folderów w dowolnych lokalizacjach, w tym w wrażliwych katalogach, takich jak C:\Windows lub dla różnych użytkowników. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Webbox w TeamDavid firmy Tobit Laboratories AG nie egzekwuje kontroli uwierzytelniania ani autoryzacji podczas udostępniania plików dziennika. W rezultacie atakujący mogą uzyskać wrażliwe informacje o błędach lub wewnętrzne szczegóły aplikacji, co może pomóc w dalszych atakach. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na lokalne dołączanie plików w funkcji wysyłania wiadomości e-mail, faksów, SMS itp. Poprzez podanie komendy '@@attach' w polu formularza 'scjob' można dołączyć pliki do wiadomości, które następnie może pobrać uwierzytelniony użytkownik. Filtr ograniczający dostęp do folderu konfiguracyjnego David i folderu użytkownika może zostać ominięty przez podanie alternatywnego strumienia danych, co umożliwia pobranie wrażliwych plików, takich jak pliki dostępu innych użytkowników zawierające hasła lub klucz prywatny serwera.

Webbox w TeamDavid firmy Tobit Laboratories AG konstruuje adresy URL przekierowań na podstawie danych dostarczonych przez użytkownika, które są dołączane do celu przekierowania w odpowiedzi HTTP 302. Używając znaków zakodowanych w URL, takich jak „%2e” (reprezentujących kropkę), atakujący może manipulować częścią adresu URL po domenie najwyższego poziomu (TLD). Jeśli istnieje podobna, rejestrowalna domena TLD (na przykład, jeśli domena aplikacji to „.com”, a „.company” jest dostępna do rejestracji), atakujący może skonstruować adres URL, aby przekierować użytkowników na złośliwą domenę „.company”. Używając zakodowanych w URL znaków nowej linii, możliwe jest wstawienie dowolnych nagłówków odpowiedzi w odpowiedzi HTTP serwera. Problem dotyczy TeamDavid przed Rollout 528. Od Rollout 528 (30 czerwca 2026) dotknięta funkcjonalność jest domyślnie wyłączona.

Aplikacja Webbox firmy Tobit Laboratories AG TeamDavid jest podatna na dowolne usuwanie plików w funkcji wysyłania wiadomości e-mail, faksów, SMS itp. Poprzez podanie komendy '@@COMMENTFILE' w polu formularza 'scjob' można usunąć dowolny plik w systemie.