Betroffen ist das Eclipse BaSyx Java Server SDK, genauer die HTTP-Schnittstelle für Submodelle. Dort werden Pfadangaben beim Hochladen von Dateien nicht ausreichend normalisiert und geprüft. Ein Angreifer kann deshalb beim Upload einen präparierten Dateinamen übergeben, der Verzeichniswechsel enthält, und damit die vorgesehenen Speichergrenzen verlassen – ein klassischer Path-Traversal-Angriff. Auf diese Weise lassen sich beliebige Dateien an nahezu jeder Stelle des Dateisystems ablegen, auf die der laufende Java-Prozess Schreibrechte besitzt. Dafür sind weder gültige Zugangsdaten noch eine Anmeldung erforderlich; der Angriff ist über das Netzwerk möglich. Werden auf diesem Weg Dateien überschrieben oder an sicherheitsrelevanten Stellen eingeschleust, kann daraus die Ausführung von beliebigem Code auf dem Server und damit die vollständige Übernahme des betroffenen Systems folgen. Gefährdet sind alle Umgebungen, in denen die Submodell-Schnittstelle dieses SDK erreichbar betrieben wird.