Unbefugter Systemzugriff durch OWL
Das Dokumentenverwaltungssystem OWL enthält eine Schwachstelle, die Angreifern aus dem Netz den Systemzugriff erlaubt.
Das Dokumentenverwaltungssystem OWL enthält eine Schwachstelle, die Angreifern aus dem Netz den Systemzugriff erlaubt. Bislang gibt es noch keine Updates, die den Fehler beseitigen würden.
Der Hacker rgod hat einen Proof-of-Concept-Exploit veröffentlicht, der verwundbare Systeme angreift und auf ihnen beliebige Befehle ausführen kann. Voraussetzung für einen erfolgreichen Angriff mit dem Exploit ist die aktivierte PHP-Option register_globals, was noch immer einige Skripte zur korrekten Ausführung erfordert.
Betroffen sind die aktuelle Version 0.82 von OWL, möglicherweise aber auch ältere. Als Workaround bleibt derzeit nur, in der Datei lib/OWL_API.php zu programmieren und die Eingabe des Parameters xrms_file_root zu überprüfen, den Zugriff auf OWL zu limitieren oder das OWL-System offline zu nehmen.
Siehe dazu auch: (dmk)
- Download von OWL (derzeit noch alte Version)
- PoC-Exploit von rgod
