 |
||||
   Januar 2000, letzte Ergänzung: 10. Februar 2000
|
||||
Die meisten Links führen direkt auf die
entsprechende Datei beim meldenden CERT bzw. andere Organisation. Die ständige
Aktualität (speziell welche Gegenmaßnahmen zu ergreifen oder welche Patches zu
installieren sind) ist damit sichergestellt.
rder="0" cellpadding="2">
Die meisten nachgeladenen Texte sind auf englisch. |
||||
|
||||
Im Template invoke.cfm des Spectra 1.0 Remote Access Services ist eine Lücke gefunden worden. Normalerweise müssen sich Benutzer über den Webtop Security Context authentisieren. Dieses läßt sich dadurch umgehen, daß er einen Parameter "bAuthenticated" in einem URL, einem Form oder WDDX Paket übergibt, wodurch ein Fehler im Remote Access Service ihn ohne weitere Kontrolle akzeptiert. Ein Patch ist verfügbar und sollte installiert werden. |
||||
|
||||
Im syslogd wurde eine Möglichkeit gefunden, einen Denial-of-Service Angriff über das Öffnen sehr vieler syslog-Verbindungen durchzuführen. Patches sind für Qube 1, Qube 2, RaQ1, RaQ2 und RaQ3 verfügbar. Die derzeit aktuelle Version von cgiwrap der RaQ3 und RaQ2 läuft mit falschen Berechtigungne, wodurch Angreifer beliebige Daten einer anderen virtuellen Site ansehen oder verändern können. Die entsprechenden Patches sind für RaQ2 und RaQ3 verfügbar. Für CacheQube, CacheRaQ 1, CacheRaQ 2, NASRaQ, Qube 1, Qube 2, RaQ 1 und RaQ 2 sollte ein MIPS Kernel-Update durchgeführt werden. Ein potentielles Sicherheitsproblem im Majordomo Wrapper bietet lokalen Benutzern auf einer Maschine Administrationsrechte, daher sollten die Patches für Qube2, RaQ2 und RaQ3 installiert sein. Schließlich gibt es noch enie Lücke durch eine ungenügende Bereichsüberprüfung in /.cobalt/siteUserMod/siteUserMod.cgi, wodurch beliebige Administratoren die Passworte anderer Benutzer beliebig festlegen können, bei RaQ1 und RaQ2 sogar von root. Es stehen experimentelle Patches für RaQ1, RaQ2 und RaQ3 zur Verfügung. |
||||
|
|
||||
Bei der Anpassung von scohelp an andere internationale Versionen wird auf ein Objekt zugegriffen, das für einen Pufferüberlauf anfällig ist. Ein Patch (letter) steht zur Verfügung. Auch für die Beseitigung von zwei Sicherheitsrisiken, über die lokale Benutzer auf dem System höchste Rechte bekommen, sollte ein Patch (letter) installiert werden. |
||||
|
|
||||
Im Microsoft Index Server sind zwei Lücken
gefunden worden. Die erste betrifft das "Hit-Highlighting"
Feature (auch als "Web Hits" bekannt): Die Zugangsrechte zu
den Dateien ist nicht sauber implementiert. Durch die Übergabe
bestimmter Parameter ist es möglich, das virtuelle Verzeichnis des
Web Servers zu verlassen und alle Dateien auf der Partition, auf der
der Web Server läuft, zu lesen. |
||||
|
|
||||
HP verwendet eine proprietäre Methode, um die PMTU (Path MTU) zu bestimmen. Muß Verkehr über eine Strecke gerouted werden, wo die optimale MTU noch nicht bestimmt ist, werden ICMP Pakete zuätzlich zu den Daten über diesen Weg geschickt. Abhängig vom eingehenden Verkehr können Systeme unter HP-UX 10.30/11.00 dazu genutzt werden, um mit wenigen eingehenden Paketen eine Paketflut zu erzeugen, das in einem Denial-of-Service Angriff enden kann. Die Empfehlung lautet, den NDD-Parameter ip_pmtu_strategy auf eins zu setzen. Wie dieses gemacht wird, ist im Advisory beschrieben. |
||||
|
|
||||
Das Programm make(1) wird typischerweise dazu genutzt, um Source Code zu kompilieren. Es hat einen Schalter "-j", durch den das parallele Arbeiten unterstützt wird. Hierzu erfolgt eine Zwischenspeicherung von Daten im Verzeichnis /tmp, damit andere Prozesse auf die hier gespeicherten Shell-Kommandos zugreifen können. Diese Datei wird während des Durchlaufes mehrfach gelöscht und neu angelegt, wobei der Dateiname immer gleich bleibt. Ein Angreifer kann dadurch eine Race-Condition erzeugen und ggf. den Inhalt dieser Datei gegen eigene Inhalte austauschen. Es wird empfohlen, den herausgegebenen Patch zu installieren. |
||||
|
|
||||
Greg Hoagland hat eine Möglichkeit gefunden, wie über einen HTTP GET Request mit einer URL von 537 Byte Länge ein Pufferüberlauf provozierbar ist. Wie so oft bei solchen Dingen, erhält der Angreifer über das Netzwerk die volle Kontrolle über die Maschine. Weitere Informationen und Beispielcode sind im Advisory zu finden. Ein Patch ist derzeit nicht verfügbar. |
||||
|
|
||||
Wie bereits berichtet wurde, zeigt der mit den HP9000 Series 700/800 Servers mitgelieferte wu-ftpd Lücken. Für HP-UX 11.04 wurde jetzt ein VVOS Patch (PHNE_2068) veröffentlicht, der baldmöglichst installiert werden sollte. |
||||
|
|
||||
Auch der NIPC hat in den letzten Wochen verstärkt Meldungen erhalten, nach denen Angreifer immer mehr Tools auf Maschinen hinterlassen, die für die Durchführung von Denial-of-Service Angriffen geeignet sind. Durch das Zusammenschalten vieler Maschinen können auch große Netzwerke angegriffen werden. Nähere Informationen finden sich im Advisory. |
||||
|
|
||||
Das Programm majordomo ist für das Management
von Internet-Mailinglisten weit verbreitet. In Version 1.94.4 ist eine
Sicherheitslücke gefunden worden, über die lokale Benutzer die
Rechte von majordomo und dem lokalen Programm zur Auslieferung der
Mails erhalten können. Unter Umständen kann dieses auch einen
unberechtigten Root-Zugriff auf die Maschine bedeuten. Sites, die
diese Version von majordomo benutzen, sollten umgehend auf Version 1.94.5
aufrüsten. |
||||
|
|
||||
Das Utility RDISK wird beim Anlegen einer Emergency Repair Disk (ERD) genutzt um den Status der Maschine laufend festzuhalten damit auch nach einem Systemausfall die Integrität gewahrt bleibt. Während seiner Ausführung legt RDISK eine temporäre Datei an, auf die alle Benutzer, also auch Angreifer lesend zugreifen können. Inhalt dieser Datei sind unter anderem Informationen aus der Registry gespeichert. RDISK löscht diese Datei am Ende des Vorgangs. Microsoft hat gegen dieses potentielle Risiko einen Patch herausgegeben. |
||||
|
|
||||
Bei Systemen, die procfs eingeschaltet und
gemounted haben, besteht die Gefahr, daß die StdErr-Ausgabe von
Prozessen mit setuid Informationen über einen Deskriptor in den Stack
des procfs-Speichers geschrieben wird. Procfs ist nicht per Default
bei OpenBSD gemounted. Die Installation eines Patches
wird empfohlen. |
||||
|
|
||||
Microsoft Office enthält ein Tool zur Konvertierung älterer Word-Dokumente. Das Utility zur Konvertierung von Texten aus Word 5 für Ostasiatische Sprachen (japanisch, koreanisch, chinesisch) hat an einer Stelle eine mangelhafte Überprüfung, wodurch ein Pufferüberlauf provoziert und während des Öffnen eines Dokumentes beliebiger Code auf der Maschine mit den Rechten des angemeldeten Benutzers ausführbar ist. Nähere Informationen zu Patches sind im Advisory nachzulesen. |
||||
|
|
||||
Im Super Mail Transfer Package (PORT 25) Server für Windows NT Version 1.9x wurde eine Möglichkeit gefunden, einen Denial-of-Service Angriff durchzuführen. Begründet ist dieser durch mangelhaftes Speichermanagement. Ein Fix ist derzeit noch nicht erhältlich. |
||||
|
|
||||
Letztens wurde für UnixWare7 gemeldet, dass durch Ausnutzen von Pufferüberläufen in den pkg*-Tools alle Dateien auf dem System (z.B. /etc/shadow) zumindest lesbar sind. Open Server Version 5.0.5 betrifft dieses nicht direkt, wohl wird aber der gleiche Toolset genutzt. Daher wird empfohlen, die von SCO veröffentlichten neuen Binaries (Letter) zu installieren. |
||||
|
|
||||
Für SuSE Linux (bis einschliesslich Version 6.3) ist lprold der Default-Daemon für das Drucken. Wird der Mechanismus von hosts.lpd zur Kontrolle über Druckjobs genutzt, so kann ein Angreifer diesen umgehen, wenn er selber einen DNS-Server betreibt, der die Rückauflösung für seine IP-Adresse durchführt: Derzeit wird kein Double-Reverse Lookup gemacht. Außerdem besteht die Gefahr, dass Steuerungsdateien für Print-Jobs so manipulierbar sind, dass spezielle Statements an sendmail übergeben werden, wodurch Angreifer ihre eigene Konfigurationsdatei für sendmail einsetzen können - was schliesslich zu einem (unberechtigten) Root-Zugang auf der Maschine führen kann. Es wird empfohlen, die entsprechenden Patches von SuSE's Webpage for Patches zu installieren. |
||||
|
|
||||
Das Dateiformat RTF besteht aus Text- und
Steuerungsinformationen. Diese Steuerung erfolgt durch Direktiven
über reservierte Worte. Die Default-Routine zum Auswerten von
RTF-Dateien hat eine Lücke, wodurch Teile des Kontrollheaders nicht
genügend überprüft werden. Ist hier ein "Spezialbefehl"
enthalten, stürzt die entsprechende Applikation ab. Microsoft betont,
dass E-Mail Attachments als höchstes Risiko zu werten sind: Ist ein
solches Attachment an eine E-Mail angehängt, stürzt z.B. Outlook ab,
wenn der Preview-Modus eingeschaltet ist. |
||||
|
|
||||
LPC Ports sind ein Feature unter NT, mit dem
Local Procedure Calls auf einer Maschine getätigt werden können.
Eine der Funktionalitäten ist, daß durch den API-Set Serverprozesse
auch Clientprozesse auf der lokalen Maschine darstellen können. Durch
eine mangelhafte Überprüfung in einer Funktion kann es lokalen
Benutzern gelingen, die beiden Prozesse unberechtigt zu starten, die
Anfrage zu manipulieren und sie mit jeden gewünschten Rechten auf der
Maschine laufen zu lassen. Das Risiko ist, daß lokale Benutzer
dadurch andere Benutzer (mitsamt ihren Rechten, auch als Administrator
oder System) "emulieren" können. |
||||
|
|
||||
Die mit Debian GNU/Linux 2.1 ausgelieferte
Version von nvi hat einen Fehler im Skript /etc/init.d/nviboot.
Dateinamen, die Leerzeichen enthalten werden nicht richtig behandelt.
Dadurch ist es möglich, mit Hilfe eines Eintrags in /var/tmp/vi.recover
Dateien im Root-Verzeichnis zu löschen. |
||||
|
|
||||
In at(1) und adduser(8) sind geringfügige Y2k-Probleme erkannt worden. Es wird empfohlen, die Source-Patches für at und adduser zu installieren. |
||||
|
|
||||
Beim Microsoft Internet Explorer 5.01 unter Win95 und 5.5 unter NT 4.0 kann mittels JavaScript und einer Lücke im IE die "Cross Frame Security Policy" umgangen werden. Die Folge ist, daß sämtliche Dateien der Maschine über einen "speziellen" Web Server auslesbar sind und z.B. auch Fenster auf der Maschine geöffnet werden können. Diese Lücke ist von Georgio Guninski entdeckt worden, ein Beispiel ist von seinem Server abrufbar. |
||||
|
|
||||
UssrLabs hat eine Möglichkeit gefunden, wie im IMail IMonitor für Windows NT Version 5.08 und u.U. auch anderen Versionen ein Denial-of-Service Angriff durchgeführt werden kann. Ein cgi-Skript status.cgi überprüft, welche Server-Services auf der Maschine laufen. Durch ein sehr häufiges Ausführen dieses Skriptes kann der IMONITOR mit der Meldung "Invalid Memory Address" abstürzen. IPSwitch ist über diese Tatsache informiert worden. |
||||
|
|
||||
Im lpd (line printer daemon), der im lpr-Package
mit enthalten ist, sind zwei Sicherheitslücken gefunden worden. Durch
die erste können Benutzer, die ihren eigene DNS-Rückauflösung
machen können, unberechtigten Zugang zum Drucker bekommen.
Voraussetzung ist, daß sie für ihre IP-Adresse als PTR-Eintrag den
Host, auf dem der Drucker angesprochen wird, eintragen. Eine zweite
Sicherheitslücke ergibt sich dadurch, daß sendmail Parameter
akzeptiert, die dafür sorgen können, daß sendmail mit einer
speziellen Konfigurationsdatei aufgerufen wird. Hierdurch kann u.U.
der Angreifer Root-Rechte auf der Maschine erhalten. |
||||
|
|
||||
Der Audio Security File
/etc/opt/audio/audio.sec wird durch das Programm asecure mit den
Rechten 666 angelegt. Hierdurch kann Root Benutzer als priviligierte
User über das Programm asecure hinzufügen. Diese Benutzer können
dann ihre eigenen Änderungen am Audio Security File vornehmen.
Asecure hat die Rechte 555, wegen der Änderungen durch die Benutzer
muß audio.sec welt-schreibbar sein. Bis Patches verfügbar sind, wird
empfohlen als root |
||||
|
|
||||
Das CFCACHE Tag ist ein Caching-Feature, wodurch der Seitenaufruf beschleunigt wird. Ist das Tag in einer .CFM-Seite aktiviert, werden verschiedene temporäre Dateien angelegt, die u.a. auch die absoluten Pfadnamen, URL-Parameter und Zeitstempel enthalten. Diese Dateien werden im gleichen Verzeichnis wie die .CFM-Datei abgelegt, daher sind diese Informationen von jedem Browser aus abrufbar. In ColdFusion 4.5 hat Allaire das CPCACHE-Tag so verändert, daß die temporären Dateien in einem nicht mehr öffentlich zugänglichen Verzeichnis abgelegt sind. |
||||
|
|
||||
Der Allaire Spectra 1.0 Webtop gestattet
authentisierten Benutzern Zugriff zu mehr als nur den angegebenen
URL's Zugriff. Dieses Lücke besteht allerdings nur für Benutzer, die
sich bereits authentisiert haben. |
||||
|
|
||||
Der im MCIS Mailserver enthaltene IMAP Server führt nur eine ungenügende Bereichsüberprüfung durch. Kommt eine spezielle Anfrage an diesen Service, können die Services Web Publishing, IMAP, SMTP, LDAP und andere abstürzen. Des weiteren ist das Provozieren eines Pufferüberlaufes möglich, wodurch beliebige Kommandos auf der Maschine ausführbar sind. Es wird empfohlen, die entsprechenden Patches für Intel bzw. Alpha zu installieren. |
||||
|
|
||||
In userhelper wurde eine Lücke gefunden, durch
die lokale Benutzer Root-Zugang zur Maschine erhalten können. Beide
Programme (userhelper und pam) folgen auch Pfadangaben, die zwei
Punkte enthalten. Über die Routine pam_start, die
_pam_add_handler() aufruft, kann ein Angreifer jede Datei auf der
Festplatte öffnen. Die Installation der Patches wird dringend
empfohlen. |
||||
|
|
||||
Das US-CERT erhält auch weiterhin viele Meldungen über Neuentwicklungen im Bereich DoS. Im Advisory sind einige Tendenzen zusammengefaßt. Neu verbreitet wird ein Tool namens "Stacheldraht", ein Unternehmen berichtet von über 100 Verbindungen zu verschiedenen Stacheldraht-Agenten. Eine Analyse darüber ist hier zu lesen. |
||||
|
|
||||
In den Versionen von pine unterhalb von 4.21 ist eine Sicherheitslücke entdeckt worden. Der pine Mailagent filtert Shell-Kommandos die in URL's enthalten sind, nicht heraus. Daher kann ein Angreifen Benutzer in der Art austricksen, indem er ihm eine E-Mail schickt in der ein solcher URL enthalten ist. Als Folge werden die enthaltenen Shell-Kommandos auf der Maschine ausgeführt. Es wird empfohlen, die entsprechenden Patches von SuSE's Webpage for Patches zu installieren. |
||||
|
|
||||
Im OpenLinux sind zwei Probleme des INN gefunden worden, die für einen DoS-Angriff augenutzt werden können. In beiden Fällen ist es so, daß ein speziell formatierter Artikel den INN Daemon innd zum Absturz bringt. Es wird empfohlen, ein Upgrade auf die aktuellen Packages durchzuführen. |
||||
|
|
||||
Auf HP9000 Series 7/800 unter HP-UX 10.X und 11.X kann das Programm /opt/audio/bin/Aserver (Audio Server) dazu genuzt werden, Root-Rechte auf der Maschine zu erreichen. Bis Patches verfügbar sind, wird dringend empfohlen, entweder das Programm Aserver zu entfernen oder zumindest die Ausführungsrechte für dieses Programm zu löschen. |
||||
|
||||
Hier sind die Meldungen vom Dezember 1999, November 1999, Oktober 1999, September 1999, August 1999, Juli 1999, Juni 1999, Mai 1999, April 1999 und März 1999 zu finden |
