⚙️ Technische Aufschlüsselung

📨 Schritt 1 — Zustellung einer schädlichen E-Mail

Der Angreifer sendet eine E-Mail mit einem speziell präparierten Anhang.

🧩 Schritt 2 — Umgehung der Dateinamen-Bereinigung

FreeScout versucht, gefährliche Dateien wie .htaccess zu blockieren, aber der Angreifer:

• Stellt ein Zero-Width-Unicode-Zeichen voran
• Umgeht die Dateinamen-Validierung
• Die Datei wird als gültige ausführbare Serverdatei gespeichert

💣 Schritt 3 — Remote-Ausführung

Der Angreifer greift über den Webpfad auf die hochgeladene Datei zu und führt beliebige Befehle aus.

Ergebnis:

✅ Wenn der Vorgang erfolgreich ist, sehen Sie hier GENAU das, was Sie (Schritt für Schritt) sehen werden:

1. In Ihrem Terminal (direkt nach dem Ausführen des Skripts)

Sie sehen außerdem die Anweisungen für die nächsten Schritte.

2. Wenn Sie den Befehl find per SSH auf Ihrem FreeScout-Server ausführen

Er gibt sofort den vollständigen echten Pfad zur hochgeladenen Datei zurück, zum Beispiel:

(oder einen ähnlichen Datums-/Uhrzeit-Ordner — das bestätigt, dass FreeScout den Anhang automatisch gespeichert hat).

3. Der ECHTE Erfolgsnachweis — in Ihrem Browser (das ist der Moment, in dem Sie wissen, dass Sie volle RCE haben)

Kopieren Sie den Pfad aus Schritt 2 und öffnen Sie diese URL:

Sie sehen genau diese Ausgabe (als Klartext):

(Oder welcher Apache/PHP-Benutzer auch immer auf Ihrem Server läuft — normalerweise www-data, apache oder nobody).

Ändern Sie nun den Befehl und laden Sie die Seite neu:

Sie werden sehen:

Und für ls -la:

Diese Ausgabe erscheint direkt auf der Browserseite (innerhalb der <pre>-Tags der Webshell). Kein Fehler, kein PHP-Quellcode, keine 404.

Das bedeutet, dass Sie volle Remote-Code-Ausführung auf dem Server haben — der Bypass per .htaccess und Zero-Width-Space hat einwandfrei funktioniert, und der E-Mail-Anhang wurde ohne jegliche Benutzerinteraktion verarbeitet.

🎯 Warum das gefährlich ist

• ⚡ Zero-Click-Ausnutzung
• 🌐 Remote-Angriffsfläche (E-Mail)
• 🔓 Keine Authentifizierung erforderlich
• 🧨 Volle RCE-Fähigkeit
• 📂 Potenzielle Datenexfiltration
• 🔁 Laterale Bewegung innerhalb interner Netzwerke

📦 Betroffene Versionen

Alle Versionen von FreeScout:

✅ Gepatchte Version

Aktualisieren Sie sofort auf:

🛡️ Gegenmaßnahmen

1️⃣ Sofortmaßnahme

• Aktualisieren Sie FreeScout auf die neueste Version

2️⃣ Webserver härten

• Deaktivieren Sie AllowOverride All in der Apache-Konfiguration
• Beschränken Sie die Ausführung in Anhangsverzeichnissen

3️⃣ Protokolle überwachen

Achten Sie auf:

• Verdächtige .htaccess-Dateien
• Ungewöhnliche Anhangs-Uploads
• Direkte Zugriffsversuche auf /storage/attachments/

🔍 Erkennungstipps

Indikatoren einer Kompromittierung können sein:

• Unbekannte .htaccess-Dateien in Anhangsordnern
• Spitzen im ausgehenden Datenverkehr
• Webserver, der Shell-Prozesse startet
• Verdächtige POST/GET-Anfragen an Anhangspfade

🧪 Proof-of-Concept (Konzeptionell)

📌 Verwandte Schwachstelle

Dieses Problem umging die Schutzmaßnahmen, die in folgendem CVE hinzugefügt wurden:

• CVE-2026-27636

Dies zeigt, dass die Dateinamen-Bereinigungslogik unvollständig ist.

📊 Auswirkungsbewertung

🧩 Erkenntnisse

• Die Unicode-Behandlung muss vor der Validierung normalisiert werden
• Verlassen Sie sich niemals ausschließlich auf die Dateinamen-Filterung
• Anhangsverzeichnisse sollten niemals Code-Ausführung erlauben
• Zero-Click-Vektoren sind Angriffsflächen mit hohem Risiko

📚 Referenzen

• FreeScout-Sicherheitshinweis
• NVD-Eintrag für CVE-2026-28289