Ernstig lek in Flowmon-software van Progress Software

Progress Software bracht eerder deze maand al een patch uit die de kwetsbaarheid dicht. Vooralsnog zijn er geen aanwijzigingen dat het lek actief wordt uitgebuit. De publicatie van de proof of concept-code geeft kwaadwillenden echter wel meer informatie over het lek.

Het lek zit in Flowmon 11.x en 12.x. Het stelt ongeautoriseerde aanvallers in staat toegang te verkrijgen tot de webinterface van Flowmon, waar zijn geprepareerde API-commando's kunnen gebruiken om systeemcommando's uit te voeren. De kwetsbaarheid is ontdekt door David Yesland, een pentester van Rhino Security Labs. Yesland meldde het lek bij Progress Software, dat het lek via een update heeft gedicht. Meer informatie is hier beschikbaar.