Openfind SecuShare Pro: OS-Command-Injection durch nicht authentifizierte Angreifer

Zusammenfassung

Openfind SecuShare Pro in Version 4 enthält eine OS-Command-Injection-Schwachstelle (CWE-78). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch präparierte Eingaben beliebige Betriebssystembefehle einschleusen und auf dem Server ausführen. Der CVSS-4.0-Wert liegt bei 9.3 (kritisch), und für den Angriff ist nur Netzwerkzugriff auf den Server nötig.

Betroffen

• SecuShare Pro Version 4 (gemäss CVE-Eintrag und TWCERT/CC). Genaue betroffene Build-Nummern: Unbekannt.
• Cloud-Edition (MailCloud inklusive EaaS): Laut Hersteller nicht betroffen, da alle Umgebungen aktualisiert wurden.

Behoben in

• Standard-Edition: Build-Nummer unbekannt. Für das Update den technischen Service von Openfind kontaktieren.
• Angepasste Edition: Die installierte Versionsnummer an Openfind übermitteln, die den Sicherheitspatch bereitstellt.
• Cloud-Edition: Vom Hersteller vollständig aktualisiert.

Umgehung

• Unbekannt. In den geprüften Quellen ist kein Workaround des Herstellers veröffentlicht.
• Bis ein Patch installiert ist, den Netzwerkzugriff auf den Server auf vertrauenswürdige Netze oder VPN beschränken und die direkte Internetexposition entfernen.

Ausnutzung

• Gemäss den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt. CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als yes auf.
• VulDB meldet keinen öffentlich verfügbaren Exploit. Diese Prüfung war nicht erschöpfend.

Unsere Empfehlung

• Umgehend prüfen, ob eine SecuShare-Pro-Instanz aus dem Internet erreichbar ist, und diese Exposition entfernen.
• Die genau installierte Version und Edition ermitteln und anschliessend bei Openfind den Patch anfordern.
• Den Zugriff auf den Server einschränken und auf unerwartete Child-Prozesse sowie ausgehende Verbindungen des Dienstkontos der Anwendung achten.
• Den Patch-Kanal bei Openfind oder dem Reseller verifizieren, da sich die Quellen diesbezüglich widersprechen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• TWCERT/CC TVN advisory (English) www.twcert.org.tw
• TWCERT/CC TVN advisory (Chinese) www.twcert.org.tw
• VulDB CVE-2026-107459 vuldb.com
• VulDB vulnerability 415269 (exploit status) vuldb.com
• HOL Guard CVE entry hol.org
• Strix CVE-2026-107459 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:02.