Aspera Faspex

Die Schwachstelle betrifft IBM Aspera Faspex, eine Plattform zum schnellen Austausch großer Dateien zwischen Benutzern und Organisationen. Ursache ist eine fehlerhafte Autorisierungsprüfung: Die Anwendung kontrolliert nicht zuverlässig, ob ein Benutzer für bestimmte Aktionen tatsächlich berechtigt ist. Ein Angreifer, der bereits über ein gültiges Benutzerkonto verfügt, kann eine speziell präparierte Nachricht an das System senden und damit die Berechtigungsprüfung umgehen. Auf diese Weise erweitert er seine Rechte bis hin zu vollständigen Administratorrechten. Mit diesen kann er die Faspex-Instanz kontrollieren, etwa Konfiguration und Benutzerkonten verwalten und auf die darüber ausgetauschten Dateien zugreifen. Ein Angreifer muss sich zwar zuerst anmelden, dafür genügt aber ein gewöhnliches Konto ohne besondere Rechte. Wer Zugangsdaten eines einfachen Benutzers erlangt, kann deshalb die gesamte Anwendung übernehmen.