Akamai

Akamai CloudTest vor Version 58.30 erlaubt die Ausführung von Code aus der Ferne (Remote Code Execution). CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf CloudTest 58.30 oder neuer.

Akamai NetSession 1.9.3.1 lädt die Bibliothek CSUNSAPI.dll ohne vollständige Pfadangabe. Da diese DLL in der Installation fehlt, lässt sie sich durch eine untergeschobene Datei ersetzen, wodurch Angreifer eigenen Code im Prozess von Akamai NetSession ausführen können. CVSS-Basiswert: 9.8 (Kritisch).

In manager.exe des Akamai Download Managers (DLM bzw. dlmanager) vor Version 2.2.4.8 besteht ein stapelbasierter Pufferüberlauf. Entfernte Webserver können über eine fehlerhafte HTTP-Antwort während eines Redswoosh-Downloads beliebigen Code ausführen. CVSS-Basiswert: 9.3 (Kritisch).

Im ActiveX-Steuerelement des Akamai Download Manager vor 2.2.3.6 besteht eine CRLF-Injection-Schwachstelle. Ein entfernter Angreifer kann über einen URL-Parameter, der ein kodiertes Zeilenvorschubzeichen gefolgt von einer bösartigen Zielzeile enthält, den Download und die Ausführung beliebiger Dateien erzwingen. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: auf Akamai Download Manager 2.2.3.6 oder neuer aktualisieren.

Ein Stack-basierter Pufferüberlauf in der Funktion GetPrivateProfileSectionW des Akamai Technologies Download Manager ActiveX-Controls (DownloadManagerV2.ocx) nach Version 2.0.4.4, aber vor 2.2.1.0, erlaubt entfernten Angreifern die Ausführung von beliebigem Code. Ursache ist die Fehlinterpretation des Parameters nSize als Byte- statt als Wide-Character-Anzahl. CVSS-Basiswert: 9.3 (Kritisch).

Im ActiveX-Control des Akamai Download Managers (DownloadManagerV2.ocx) vor Version 2.2.1.0 besteht ein stapelbasierter Pufferüberlauf. Ein Angreifer aus der Ferne kann darüber beliebigen Code ausführen; es handelt sich um ein von CVE-2007-1891 verschiedenes Problem. CVSS-Basiswert: 9.3 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 2.2.1.0 oder neuer.

Akamai SIA (Secure Internet Access Enterprise) ThreatAvert weist in SPS (Security and Personalization Services) vor dem jüngsten Patch 19.2.0 sowie im Apps Portal vor 19.2.0.3 bzw. 19.2.0.20240814 fehlerhafte Autorisierungskontrollen für die Admin-Funktionalität auf der ThreatAvert-Policy-Seite auf. Ein authentifizierter Benutzer kann direkt zur URI /#app/intelligence/threatAvertPolicies navigieren und die Durchsetzung von Richtlinien deaktivieren. Betroffen sind Produkte von Akamai. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: SPS auf Patch 19.2.0 und das Apps Portal auf 19.2.0.3 bzw. 19.2.0.20240814 oder neuer aktualisieren.

Im Akamai EAA (Enterprise Application Access) Client vor 2.3.1 sowie in den Zweigen 2.4.x vor 2.4.1 und 2.5.x vor 2.5.3 kann ein nicht in Anführungszeichen gesetzter Pfad (Unquoted Path) es einem Angreifer erlauben, den Ausführungsablauf zu manipulieren. CVSS-Basiswert: 7.8 (Hoch). Betroffen sind Akamai und Microsoft Windows als Zielplattform. Empfohlene Massnahme: auf eine der korrigierten Versionen aktualisieren.

Die Verwaltungsschnittstelle des Akamai Client (vormals Red Swoosh) 3322 und früher erlaubt Angreifern aus der Ferne, die Authentifizierung über eine HTTP-Anfrage ohne Referer-Header oder mit gefälschtem, zu einer zugelassenen Domain passendem Referer-Header zu umgehen. Dies ermöglicht Cross-Site-Request-Forgery-Angriffe (CSRF) und zwingt den Client, beliebige Dateien herunterzuladen und auszuführen. CVSS-Basiswert: 7.1 (Hoch). Betroffen sind Akamai sowie Keycloak und Red Hat (OpenShift/RHEV, RHSA), soweit der Client dort integriert eingesetzt wird.

Akamai Ghost auf Akamai-CDN-Edge-Servern vor dem 2025-11-17 verarbeitet chunked Request-Bodies fehlerhaft. Enthält ein ungültiger chunked Body eine Chunk-Grösse, die von der tatsächlichen Grösse der folgenden Daten abweicht, leitet Akamai Ghost unter bestimmten Umständen die ungültige Anfrage samt überzähliger Bytes an den Origin-Server weiter. Ein Angreifer könnte darin eine geschmuggelte Anfrage verstecken; die Ausnutzbarkeit hängt vom Verhalten des Origin-Servers ab. CVSS-Basiswert: 4.8 (Mittel). Betroffen ist Akamai.

Das ActiveX-Control DownloadManagerV2.ocx des Akamai Download Manager (DLM) vor Version 2.2.3.5 erlaubt Angreifern aus der Ferne, den Download und die Ausführung beliebigen Codes über nicht dokumentierte Objektparameter zu erzwingen. CVSS-Basiswert: 6.8 (Mittel). Empfohlene Massnahme: auf Version 2.2.3.5 oder neuer aktualisieren.