Webtop Media Transcoder

Die Schwachstelle betrifft den Webtop Media Transcoder von Openwave Messaging Limited, eine Komponente, die Dokumente und Mediendateien für die Anzeige im Webmail-Umfeld umwandelt. Administratoren können festlegen, welche Dateitypen der Transcoder konvertieren darf. Diese Beschränkungen setzt die Komponente jedoch nicht selbst durch. Fachlich handelt es sich um eine fehlerhafte Übergabe von Ressourcen zwischen Vertrauensbereichen: Die Prüfung findet offenbar nur in der regulären Webmail-Oberfläche statt. Ein angemeldeter Benutzer kann diese Oberfläche umgehen und den Transcoder direkt ansprechen. So lässt er Dokumenttypen verarbeiten und umwandeln, die laut Konfiguration eigentlich ausgeschlossen sind. Für einen Angriff ist ein gültiges Benutzerkonto nötig. Die vom Administrator vorgesehene Einschränkung der Angriffsfläche des Konvertierungsdienstes wird dadurch wirkungslos.