 |
||||
   Juni 2000, letzte Ergänzung: 01. August 2000
|
||||
Die meisten Links führen direkt auf die
entsprechende Datei beim meldenden CERT bzw. andere Organisation. Die ständige
Aktualität (speziell welche Gegenmaßnahmen zu ergreifen oder welche Patches zu
installieren sind) ist damit sichergestellt.
Die meisten nachgeladenen Texte sind auf englisch. |
||||
|
||||
Das Active Setup Control gestattet den Download von .cab Dateien im Rahmen der Installation von Software-Updates. Dieses Control hat zwei Sicherheitslücken. Grundsätzlich wird allen .cab Dateien vertraut, die von Microsoft signiert sind, daher werden diese ohne Rückfrage beim Benutzer installiert. Der zweite Punkt ist, dass der Versender festlegen kann, wo die Datei auf der Festplatte des Benutzers installiert werden soll. In Kombination bieten beide Lücken für Betreiber von Web Servern grundsätzlich die Möglichkeit, Dateien auf dem PC des Benutzers zu überschreiben. Dieses kann z.B. für einen DoS-Angriff genutzt werden. Es wird empfohlen, den von Microsoft veröffentlichten Patch zu installieren. |
||||
|
|
||||
Bekommt ein System unter Windows 9x ein Paket im ARP (Address Resolution Protocol), mit dem die Informationen der statischen ARP-Tabelle erneuert werden sollen, geschieht genau dies: Windows 9x übernimmt die Informationen aus dem Paket ungeprüft in die statische ARP Tabelle. Ein Patch steht derzeit noch nicht zur Verfügung. |
||||
|
|
||||
iMesh ist ein Service, über den Benutzer Dateien finden und freigeben können. iMesh 1.02, Build 116 und 177 sind gegenüber einem Pufferüberlauf empfindlich. Für eine Serververbindung ist iMesh über verschiedene TCP Ports ansprechbar. Dieses kann von Angreifern dazu ausgenutzt werden, einen Pufferüberlauf zu provozieren und damit beliebigen Code auf der Maschine abzusetzen. Dem Hersteller iMesh ist das Problem bekannt und ein Fix wird in der nächsten Version der Software eingearbeitet sein. |
||||
|
|
||||
Die Versionen des ISC DHCP Client in Debian 2.1 (slink) und Debian 2.2 (potato) sind gegenüber einem Root-Exploit empfindlich. Es wurde berichtet, dass Kommandos, die in Antworten des DHCP Servers enthalten sind, auf der lokalen Maschine ausgeführt werden. Damit ist es im Prinzip möglich, dass Angreifer von einem DHCP Server aus als Root beliebige Kommandos auf dem DHCP Client ausführen können. Patches stehen zur Verfügung. Nähere Informationen sind dem Advisory zu entnehmen. |
||||
|
|
||||
Der wu-ftp FTP Server führt nur eine unzureichende Bereichsüberprüfung beim Bearbeiten des Kommandos SITE EXEC durch. Hierdurch kann ein Angreifer über das Netzwerk beliebigen Code mit den Rechten des FTP Servers (meist Root) ausführen. Ein setuid-Bug in Kernel 2.2.x < 2.2.16 ermöglicht es Benutzern, mehr Rechte als beabsichtigt zu erhalten. Es wird dringend empfohlen, die entsprechenden Patches von SuSE's Webpage for Patches zu installieren. |
||||
|
|
||||
Im POP3- und HTTP Proxy des WinProxy 2.0.0 and 2.0.1 gibt es verschiedene ungeprüfte Puffer, durch die einerseits ein Denial-of-Service, andererseits auch die Ausführung beliebigen Codes auf der Maschine möglich ist. Eine in C geschriebene Demonstration steht zur Verfügung, aber leider noch kein Patch. |
||||
|
|
||||
Wie Georgi Guninski berichtet, besteht beim Internet Explorer 5.01, Excel 2000 und PowerPoint unter Windows 98 die Möglichkeit, dass mit dem Ansehen einer Webseite oder einem HTML E-Mail Attachment beliebiger Code auf dem PC vom Server aus aufgerufen werden kann. Hierdurch können Angreifer die volle Kontrolle über den PC eines Benutzers erhalten. Der Grund für diese Lücke ist eine Funktionalität im IE, die es gestattet, dass auch gefährliche ActiveX Controls über das Tag <OBJECT> ausführbar sind - auch unter Office 2000. Eine Demonstration des Problems steht zur Verfügung, aber kein Patch. Es wird empfohlen, Active Scripting und Run ActiveX Controls auszuschalten. |
||||
|
|
||||
Beim Proxy+ 2.40 ist das Remote-Administrations Interface so konfiguriert, dass es nur Verbindungen von "localhost" entgegennimmt. Verbindungen, die über den HTTP Proxy des Servers kommen, werden nicht akzeptiert - wohl aber die, die über den Telnet Proxy kommen. Ein Patch ist derzeit noch nicht verfügbar. |
||||
|
|
||||
Wird an einen LeafChat IRC Client 1.7 eine ungültige Antwort geschickt, antwortet er nicht mehr. Eine Demonstration des Problems ist im Advisory dargestellt, ein Patch steht noch nicht zur Verfügung. |
||||
|
|
||||
Sind BlackICE Defender 2.1 und BlackICE Agent 2.0.23 mit dem Sicherheitslevel NERVOUS oder geringer konfiguriert, bieten sie keinen Schutz gegen Back Orifice 1.2. Grund hierfür ist, das die Ports oberhalb von1021 nicht durch die Software geblockt werden. Weitere Informationen über Fixes und Workarounds sind dem Advisory zu entnehmen. |
||||
|
|
||||
Es wurde die US-Version der im NetBSD enthaltenen Datei libdes durch eine neue ersetzt. In Verbindung mit einer Authentisierung durch Kerberos 4 besteht beim Generieren von Schlüsseln in der neuen Datei ein Sicherheitsrisiko: Der Zufallsgenerator startet immer mit dem gleichen Startwert, wodurch die so erzeugten Schlüssel leicht vorhersagbar sind. Hinweise zu einem Workaround sind im Advisory nachzulesen. |
||||
|
|
||||
Im wu-ftpd besteht ein Risiko in der Art, wie dieser Server das SITE EXEC Kommando abarbeitet. Durch Ausnutzen dieser Lücke können Angreifer Root-Rechte auf der Maschine erhalten. Der Angriff ist mit der Default-Installation des wu-ftpd möglich. Caldera hat Patches veröffentlicht, die im Advisory verlinkt sind. |
||||
|
|
||||
JRun 2.3.x wird mit diversen Beispieldateien ausgeliefert, die sich im Verzeichnis JRUN_HOME/servlets befinden. Genau dieses Verzeichnis wird von JRun auch zum Laden und Ausführen von Servlets genutzt. Die .java und .class Dateien in diesem Verzeichnis können auch sensible Informationen der Web Site enthalten - daher besteht prinzipiell die Möglichkeit, dass diese sensiblen Informationen auch von aussen abrufbar sind. Bis eine überarbeitete Version veröffentlicht ist, wird empfohlen, die genannten Dateien aus diesem Verzeichnis zu entfernen. |
||||
|
|
||||
HP Web JetAdmin bietet die Möglichkeit, verschiedene Devices unter TCP/IP und IPX zu konfigurieren und zu managen. Dieses gilt auch für alle HP JetDirect Drucker und Plotter, wo es auch mit einem Web Browser funktioniert. Es wurde für Peripheriegeräte unter Microsoft NT 4.0 und 2000 eine Möglichkeit gefunden, hier einen Denial-of-Service Angriff durchzuführen. Es wird empfohlen, die aktuelle Version des Web JetAdmin 6.0 (genau 6.0.1233) zu installieren. |
||||
|
|
||||
Das US-CERT hat Informationen über Sicherheitsaspekte zu Chat Clients veröffentlicht. Die dort genannten Tatsachen sollten sowohl bei der Entwicklung eines Sicherheitskonzeptes als auch beim täglichen Betrieb beachtet werden. |
||||
|
|
||||
Aufgrund eines Fehlers bei der Veöffentlichung von Verzeichnissen, erlaubt Foundstone Weblogic, dass von jeder Datei im Root-Verzeichnis des Web Servers der Source Code abrufbar ist. Eine Demonstration ist im Advisory zu finden, weitere Informationen finden sich bei Foundstone. |
||||
|
|
||||
WorkShop ist ein Satz von Programmen zur Unterstützung beim Debuggen. Das Programm cvconnect wird von WorkShop aufgerufen, von Benutzern normalerweise nicht. In diesem Programm des WorkShop 2.6.* und darunter ist eine Sicherheitslücke gefunden worden, über die alle Benutzer jede Datei auf der Maschine überschreiben können. Ein Workaround und Patch steht zur Verfügung. Nähere Informationen hierzu finden sich im Advisory. |
||||
|
|
||||
Durch einen Fehler in der Cisco IOS Software führen Geräte unvermutet ein Reload des Systems durch, wenn sie durch Scanner getestet werden. Wird dieses laufend gegen eine Maschine angewendet, resultiert hieraus ein Denial-of-Service Angriff. Patches stehen zur Verfügung, nähere Informationen finden sich im Advisory. |
||||
|
|
||||
Red Hat hat ein neues Kernel-Release
herausgebracht, das eine setuid Sicherheitslücke schließt. Für alle
Zope-2.0 Releases existiert ebenfalls eine Lücke, die mit den
entsprechenden Patches zu schließen ist. Es wird empfohlen, die von
Red Hat herausgegebene Patches zu installieren und die im Advisory
genannten weiteren Schritte vorzunehmen. |
||||
|
|
||||
Diese Lücke zeigen AIX Systems, bei denen LPP UMS.objects 2.3.0.0 und niedriger installiert ist. Das AIX Programm cdmount gestattet es Benutzern, CD-ROM's zu mounten. Durch einen Fehler in der suid-Routine ist es für lokale Benutzer möglich, Root-Rechte auf der Maschine zu erhalten. ISS empfiehlt, das SUID-Bit von cdmount zu entfernen. Ein Patch wird demnächst veröffentlicht. |
||||
|
|
||||
Im WebBBS v1.15 findet nur eine ungenügende Bereichsüberprüfung statt. Werden mit GET Kommandos Strings mit einer Länge von 549 Byte übergeben, läßt sich auf dem Server beliebiger Code ausführen. Es wird empfohlen, so bald wie möglich v1.17 zu installieren. |
||||
|
|
||||
In einer Software, die bei einer OEM Version des Net Tools PKI Servers
1.0 enthalten ist, ist eine Lücke, über die Angreifer unberechtigten
Zugang erhalten können. Sie ist in den enthaltenen XUDA Templates
vorhanden. Diese referenzieren keine absoluten Pfadnamen, wenn sie auf
andere Dateien verweisen. Ein Patch
steht zur Verfügung. |
||||
|
|
||||
Dateien mit der Endung SHS sind ausführbar und können verschiedene Objekte enthalten. Die Endung SHS wird aber im Internet Explorer nicht angezeigt, auch dann, wenn angeblich alle Verknüpfungen aufgelistet werden. Dieser Wurm nutzt dieses aus und modifiziert das System auf verschiedene Weise. Näher dargestellt ist dieses im Advisory. Es wird empfohlen, den Anti-Virus Server mit aktuellen Pattern auf den aktuellen Stand zu bringen. |
||||
|
|
||||
Der Dragon Server v1.0 und 2.0 bietet verschiedene Services, u.a. Telnet und FTP. Wird bei der Anmeldung bei diesen beiden Services ein Benutzername mit einer Länge von 16500 Zeichen angegeben, stürzt der Server ab. Ein Patch ist noch nicht veröffentlicht worden. |
||||
|
|
||||
Durch die Übergabe eines sehr grossen URL (65000 Zeichen) mit dem GET-Kommando kann der Small HTTP Server ver. 1.212 zum Absturz gebracht werden. Es wird empfohlen, Version 2.001 zu installieren, auch wenn nicht sicher ist, ob diese nicht den gleichen Effekt zeigt. |
||||
|
|
||||
Im AnalogX SimpleServer:WWW v1.05 besteht die Möglichkeit, durch die Übergabe eines "speziellen" URL's den Server zum Absturz zu bringen, also erfolgreich einen Denial-of-Service zu erreichen. Es wird empfohlen, die jetzt neue Version 1.06 zu installieren. |
||||
|
|
||||
Meldet sich ein Benutzer beim SmartFTD-D v0.2 Server an, wird nach einer speziellen Datei gesucht, in der u.a.. die Benutzernamen und Passworte stehen. Während des Anmeldeprozesses findet keine Überprüfung der Eingabe statt, so dass auch "..\" innerhalb der Eingabe akzeptiert wird. Dadurch kann ein Angreifer den Bereich des FTP Servers verlassen. Hat er Schreibrechte auf dem FTP Server, hat er demzufolge auch vollen Schreibzugriff auf die ganze Maschine. Im nächsten Build wird dieses behoben. |
||||
|
|
||||
Der PGP Certificate Server benutzt Port 4000 für das Server-Management. Verbindet sich ein User mit diesem Port von einem System aus, wo der Nameservice nicht korrekt eingerichtet ist, stürzt der Server ab. Network Associates hat einen Patch veröffentlicht, der registrierten Benutzern zur Verfügung steht. |
||||
|
|
||||
Per Default benutzt McAfee VirusScan 4.03 ein freigegebenes Netzwerkverzeichnis zum Speichern eingehender Alarme. Alle Benutzer des VirusScan können in diesem Verzeichnis Dateien lesen, schreiben und löschen. Aufgrund der zu locker gehaltenen Rechte für das Verzeichnis und die Alarmdateien, in denen schlichter ASCII-Text steht, besteht die Möglichkeit, dass Alarme gelöscht oder aber auch Fehlalarme ausgelöst werden können. Ein Patch wird wohl demnächst herausgegeben. |
||||
|
|
||||
Das Sicherheitsmodell von Windows 2000 sieht eine Hierarchie zur Trennung von Prozessen vor. Jede Session enthält eine oder mehrere Windows Stations, wobei jede hiervon wieder einen oder mehrere Desktops enthalten kann. Es ist vorgesehen, dass Prozesse innerhalb nur einer Windows Station laufen und Threads in einem oder mehreren Desktops. Ein Prozess sollte nicht auf einen Desktop einer anderen Windows Station zugreifen können. Genau dieses funktioniert aber für nicht-priviligierte Benutzer doch und damit können In- oder Outputs, zu denen auch Passworte gehören können, gelesen werden. Microsoft hat einen Patch veröffentlicht. |
||||
|
|
||||
Lance Spitzner
hat eine Lücke in der FireWall-1 Version 4.0 und 4.1 gefunden. Eine
große Anzahl von IP Fragmenten kann dazu führen, dass durch das
Loggen der Fragmentierungen durch den FW-1 Code auf der
Firewall-Maschine selber sämtliche CPU-Kapazitäten hierfür genutzt
werden. Nicht betroffen ist das Management Modul. Check Point betont,
dass durch diesen Angriff weder ein unauthorisierter Zugang noch ein
unkontrollierter Transport von Paketen über die Firewall möglich
ist. |
||||
|
|
||||
Die Software ServletExec 3.0 gibt den Source Code ihrer ".JSP"-Dateien am Ende eines jeden generierten URL bekannt. Der Hersteller hat derzeit noch keinen Patch veröffentlicht. |
||||
|
|
||||
Die Data Transformation Service (DTS) Packages des SQL Server 7.0 gestatten Datenbankadministratoren, bestimmte Aktionen zeitgesteuert und automatisch vornehmen zu lassen. Als Teil des DTS Packages muss der Administrator einen Accountnamen samt Passwort hinterlegen, unter dem dann die Aktion vorgenommen wird. Beides ist programmtechnisch bei einem nicht ganz korrekt aufgesetzten SQL Server leicht herauszufinden, wodurch der Account kompromittiert ist. Microsoft hat einen Patch für Intel und Alpha herausgegeben. |
||||
|
|
||||
Der Etype Eserv 2.9.2 Service kann durch lange Queries zum Absturz gebracht werden, da nur eine ungenübende Überprüfung der Übergabeparameter stattfindet. Daher ist auch im Prinzip beliebiger Code auf dem Server ausführbar. Eine Demonstration der Lücke findet sich im Advisory, ein Patch steht derzeit noch nicht zur Verfügung. |
||||
|
|
||||
In älteren Versionen des BIND sind einige Sicherheitslücken vorhanden, daher sollte unbedingt nur noch die neueste Version 8.2.2-P5 zum Einsatz kommen. Sollte aus welchen Gründen auch immer ein Upgrade von Version 4.x auf 8 nicht möglich sein, sollte 4.9.7 eingesetzt werden. In letzter Zeit ist eine hohe Aktivität bezüglich dem Scannen von Nameservern auf Port 53 beobachtet worden. Diese Scans suchen Nameserver, die BIND der Versionen 8.2, 8.2.1 oder 8.2.2 einsetzen, die über NXT Records einen Pufferüberlauf 'anbieten'. |
||||
|
|
||||
Systeme, auf denen MIT-Implementationen des Kerberos 4 KDC laufen bzw. mit Kerberos 5, bei dem eingeschaltet ist, dass sie krb4 Ticket-Anfragen verarbeiten, sind verschiedene neue Möglichkeiten für Pufferüberläuft gefunden worden. Einige führen dazu, dass der KDC ungültige Tickets vergibt, einen 'principa unknown' Fehler ausgibt oder gleich vollständig abstürzt. Diese Angriffe sind neu und haben mit denen in CA-2000-06 nichts zu tun. Weitere Informationen finden sich im Advisory. |
||||
|
|
||||
Bevor über das Netzwerk auf die Registry
zugegriffen werden kann, muss eine Authentisierung durch den Remote
Registry Server erfolgen. Dieser ist im winlogon.exe enthalten. Durch
'spezielle' Anfragen besteht die Mögichkeit, dass sie vom Remote
Registry Server nicht richtig interpretiert werden und er dadurch
abstürzt. |
||||
|
|
||||
Wie Caldera Systems berichtet, wurden in setuid() verschiedene Sicherheitslücken gefunden. Hierdurch gestattet der Linux Kernel lokalen Benutzern das Ausnutzen von Lücken und das Ausführen von Programmen als Root. Wie bereits berichtet, sind im SSL-Handling des Netscape 4.72 Möglichkeiten gefunden worden, auch SSL-Sessions zu kompromittieren. Es steht ein Patch zur Verfügung, der ein Upgrade auf Version 4.73 durchführt. Eine ernste Sicherheitslücke ist im BRU Backup Utility vorhanden, wenn es über die Kommandozeile bedient wird. Hierdurch kann ein lokaler Angreifer ebenfalls Root-Rechte auf der Maschine erhalten. Patches stehen zur Verfügung und sollten baldmöglichst installiert sein. |
||||
|
|
||||
Benutzt ein Administrator die Programme USRMGR.EXE oder SRVMGR.EXE, um über das Netzwerk Benutzer bei einer Domain bzw. Workstation hinzuzufügen, oder ändert er das Passwort eines Benutzers, schickt das Programm ein 516 Byte großes, verschlüsseltes Paket über das Netzwerk. Der Datenblock kann abgefangen und systematisch gecrackt werden,wodurch alle weitere Kommunikation zwischen dem Administrator und den Domain-Controllern abhörbar ist. Microsoft arbeitet an einem Patch. |
||||
|
|
||||
Werden SMB-Requests an Systeme unter NT oder Windows 2000
geschickt, aber nicht bestätigt, kann dieses zu einem DoS führen.
Fehlen die Bestätigungen, so unterbindet Windows NT 4.0 sämtlichen
TCP/IP Verkehr bis das System neu gestartet wird. Bei Windows 2000
bleiben die Antworten auf den SMB-Verkehr aus. Dieser Zustand dauert
normalerweise ca. 20 Sekunden, dann läuft das System wieder
normal. |
||||
|
|
||||
Der OmniBack inet Daemon, der auf einem HP OpenView OmniBack II NT Client läuft, gibt nach Beendigung einer Verbindung nicht alle Ressourcen frei. Hierdurch besteht die Möglichkeit, einen Denial-of-Service Angriff zu tätigen, indem laufend neue Verbindungen zu OmniBack getätigt werden. Schliesslich wird das System stehen. Es wird empfohlen, den von HP veröffentlichten Patch zu installieren. |
||||
|
|
||||
Durch den qpop 2.53 (SuSE 6.1-6.4) führt eine
nur unzureichende Überprüfung des Mailheaders durch. Damit kann ein
Angreifer eine spezielle E-Mail an einen Empfänger, der seine E-Mails
über qpop 2.53 empfängt, schicken. Als Folge besteht die
Möglichkeit, auf dem Mailserver Code mit den Rechten des Benutzers
'mail' auszuführen. |
||||
|
|
||||
Der SMTP Mailservice des Imate WebMail 2.5 kann durch die Übergabe von 1119 Zeichen beim HELO Kommando zum Absturz gebracht werden. Concatus ist das Problem bekannt, ein Patch steht zur Verfügung. |
||||
|
|
||||
Der SMTP Mailservice des ITHouse Mail Server v1.04 kann durch die Übergabe von 2270 Zeichen beim RCPT TO Kommando zum Absturz gebracht werden. Weitere Zeichen überschreiben das EIP Register, wodurch beliebiger Code auf dem Server ausführbar ist. ITHouse hat einen Patch veröffentlicht. |
||||
|
|
||||
Beim Sambar Server 4.3 besteht die Möglichkeit,
mit normalen finger- und whois-Skripten des Sambar Servers, diesen zum
Absturz zu bringen. Beträgt die Länge eines im Skript übergebenen
Strings 32290 Zeichen, zeigt sich eine ungenügende Überprüfung in
der Datei sambar.dll, wodurch im Prinzip beliebiger Code auf der
Maschine ausführbar ist. |
||||
|
|
||||
Der Alarmservice, wie er per Default beim HP Openview Network Node Manager unter NT installiert wird, zeigt die Möglichkeit zu einem Pufferüberlauf in OVALARMSRV, wodurch beliebiger Code auf der Maschine ausführbar ist. Dieses geschieht über eine Verbindung zu Port 2345, über die ein sehr grosser String geschickt wird. Ein Patch steht noch nicht zur Verfügung, es wird empfohlen, an der Firewall Port 2345 zu sperren. |
||||
|
|
||||
Das Web Interface von CMail läuft normalerweise
auf Port 8002. Es kann dazu mißbraucht werden, 95% aller CPU-Zeit zu
verbrauchen. Der Grund hierfür ist beim Anlegen neuer Benutzer zu
suchen - wenn die Namen der Benutzer eine Länge von 196k erreichen.
Nach einer Zeit ist die Maschine wieder normal ansprechbar. |
||||
|
|
||||
Ceilidh ist eine Bulletin-Board Software, die auch Datei- und E-Mail Anhänge unterstützt. Sie läuft unter verschiedenen Betriebssystemen, zumindest die Version für Microsoft Windows NT zeigt Sicherheitslücken. Der von ceilidh.exe generierte HTML-Code enthält ein verstecktes Form-Feld namens "translated_path". Der hier angegebene Pfad ist der tatsächliche von den Ceilidh-Dateien. Ausserdem können spezielle POST-Kommandos an den Server gesendet werden, was zur Folge hat, dass ceilidh.exe mehrfach gestartet wird - und mit jedem Start wird 1% der CPU-Zeit und 700k Speicher belegt. Dieses kann für einen Denial-of-Service Angriff ausgenutzt werden. Patches stehen derzeit noch nicht zur Verfügung. |
||||
|
|
||||
Das Programm gdm ist eine Möglichkeit, wie sich Benutzer über eine grafische Benutzeroberfläche bei Conectiva Linux anmelden können. In den Versionen 4.1, 4.2 und 5.1 des Conectiva Linux ist eine Lücke gefunden worden, die während der Verarbeitung des XDMC Protokolls auftritt. So können Root-Rechte auf der Maschine auch von Unberechtigten erreicht werden. Es wird empfohlen, die im Advisory genannten Patches zu installieren. |
||||
|
|
||||
Im Linux Kernel bis zur Version 2.2.15 besteht eine Sicherheitslücke, die über Programme ausnutzbar ist und Benutzern Root-Rechte auf der Maschine gibt. Sendmail ist ein Programm, das hiervon betroffen ist. Der richtige Fix ist der Upgrade des Kernels auf Version 2.2.16. Sendmail 8.10.2 überprüft beim Start den Kernel und verweigert den Dienst, wenn die genannte Lücke über sendmail ausnutzbar wäre. |
||||
|
|
||||
FreeBSD hat am 14.1.2000 einen Patch zum sshd
veröffentlicht, der aber einen weiteren Port auf der Maschine
öffnet: Port 722 ist zusätzlich zu Port 22 ansprechbar.
Grundsätzlich besteht die Möglichkeit, dass Administratoren
einrichten können, dass der sshd auf verschiedenen Ports lauscht, bei
dem Patch ist es allerdings eine Grundeinstellung, die angepaßt
werden muss - es könnte dem Sicherheitskonzept widersprechen. |
||||
|
|
||||
i-drive.com bietet Web Storage Services an. Das Browser-basierte Tool Filo gestattet es Benutzern, beliebige Web Seiten an ihren i-drive Account zu binden. Filo ist auch dafür gedacht, wichtige Seiten wie z.B. für Investments, Reisebestätigungen oder Rechnungen im E-Commerce zu sichern. In der Version 1.0.0.1 für Windows NT ist eine Lücke gefunden worden - sie basiert auf dem per Default installierten HTTP Proxy. Wird er mit zu langen HTTP-Get Kommandos angesprochen, so stürzt er ab und durch einen Pufferüberlauf im Heap kann beliebiger Code mit den entsprechenden Rechten auf der Maschine ausgeführt werden. Es wird ein Upgrade auf die Version 1.5.3 empfohlen. |
||||
|
|
||||
Wie bereits in MS00-32 berichtet, kann durch eine Lücke in dem ActiveX Control Scriptlet.Typelib jede Datei auf dem Rechner angelegt oder modifiziert werden: In den Distributionen des IE 4 und 5 ist dieses Contol als "safe for Scripting" gekennzeichnet. Jetzt wurden zwei Viren gefunden, die über E-Mail genau diese Lücke ausnutzen. Über VBS nutzen Bubbleboy und kak dieses "Feature" aus. Sie nisten sich in der Registry ein und verbreiten sich automatisch über E-Mail weiter. Beide Viren kommen in Form von HTML-formatierter Mail zum Benutzer, der mit dem Lesen der E-Mail mit dem IE den Schadcode einfängt. Lokale Dateien werden verändert bzw. neue Dateien angelegt. Ein Patch steht zur Verfügung, näheres hierzu im Advisory MS00-32 von Microsoft. |
||||
|
|
||||
Im Internet Explorer wurden zwei weitere Lücken gefunden, die einem Angreifer durch die Manipulation des DNS ermöglichen, die Gültigkeit von Zertifikaten "zu erweitern". Möglich ist dieses einerseits dadurch, dass der IE für Bilder und Frames keine Überprüfung durchführt, andererseits auch während einer Session keine weiteren Überprüfungen durchführt. Microsoft hat einen Patch für den IE 5.01 herausgegeben, ein Patch für den IE 4.01 mit SP 2 folgt demnächst. |
||||
|
|
||||
System mit einem System V Unix wie z.B. FreeBSD, NetBSD oder OpenBSD mit einem x86 zeigen ein Problem. Durch einen undokumentierten System-Call besteht für lokale Benutzer die Möglichkeit zu erreichen, dass Systemprozesse nicht mehr beendet werden können. Das Ergebnis ist ein Denial-of-Service, der nur durch das Aufrufen des "unblock" calls oder ein Rebooten des Systems zu beenden ist. Workarounds und Patches sind im Advisory gezeigt. |
||||
|
|
||||
Caldera hat eine gefährliche Sicherheitslücke
in der KDE behoben. So, wie von der KDE Programme gestartet werden,
besteht für lokale Benutzer die Möglichkeit, jede Datei auf der
Maschine zu übernehmen. Grund hierfür ist setuid root der KDE. Ein
Pufferüberlauf im INN (InterNet News Package), der durch die
Behandlung von Artikeln ausgelöst wird, bietet Angreifern die
Möglichkeit, den lokalen Account, unter dem der News Server läuft,
zu übernehmen. |
||||
|
|
||||
Die mit Debian GNU/Linux 2.1 (slink), frozen (potato) und unstable (woody) ausgelieferte Version von mailx ist während des Versendens von E-Mail gegenüber einem lokalen Pufferüberlauf anfällig. Hierdurch kann ein Angreifer eine Shell mit den Rechten der Gruppe Mail erhalten. Das in den gleichen Versionen des Debian Linux ausgelieferte splitvt zeigt einen ähnlichen Fehler. Majordomo läßt sich ebenfalls überlisten und dazu "überzeugen", fremden Code ohne weitere Rechte ausführen zu lassen. Patches für die genannten Probleme stehen zur Verfügung. |
||||
|
|
||||
Es bestehen in den genannten Programmen Lücken, über die Benutzer einen Pufferüberlauf provozieren können. Die Folge ist, dass Programme mit den Rechten des abgestürzten Programms ausführbar sind. Dieses gilt auch für diejenigen, die mit Root-Rechten ausgeführt werden. Insofern sollten die herausgegebenen Patches dringend installiert werden. |
||||
|
|
||||
Das Feature HTML Help bietet die Möglichkeit,
dass über Shortcuts in Kompilierten HTML Hilfedateien (.chm)
ausführbare Programme aufrufbar sind. Dieses kann vom Web Server aus
dafür genutzt werden, dass ohne Bemerken des Benutzers vom Server aus
Programme auf dem PC gestartet oder auch Daten gelesen bzw. verändert
werden können. Auch gehört zu den Möglichkeiten, dass eine weitere
Verbindung zu einer anderen Web Site aufbaubar ist. |
||||
|
|
||||
Protected Store ist ein Teil der CryptoAPI
(Windows 2000 Professional, Server und Advanced Server), der für die
sichere Verwahrung sensibler Informationen wie z.B. privater
Schlüssel und Zertifikate zuständig ist. Nach dem Design her sollte
die Verschlüsselung immer mit der stärkstmöglichen
Schlüssel-Länge vorgenommen werden. Die Implementation unter Windows
2000 führt die Verschlüsselung allerdings immer mit nur 40 Bit
durch, auch wenn das System eine stärkere Verschlüsselung
durchführen könnte. |
||||
|
|
||||
In den letzten Wochen sind immer wieder
Verunstaltungen von Web Seiten beobachtet worden. Der Grund ist in der
Rechtevergabe für die FrontPage Extensions zu suchen. Speziell
beim IIS unter NT, wo diese automatisch installiert werden, muss
der Administrator "von Hand" dafür sorgen, dass die Rechte
richtig vergeben sind. Aber auch Server unter Unix (z.B. Apache 1.1.3,
Netscape Commerce Server 1.12, Netscape Communications Server 1.12, Netscape Enterprise 2.0 and 3.0, Netscape FastTrack 2.0...)
können dieses Problem zeigen. |
||||
|
|
||||
Verbindet sich eine Person über telnet zu einer Maschine, auf der ein NAI Management Agent for WebShield SMTP läuft, so kann über das Kommando GET_CONFIG die momentane Konfiguration über das Netzwerk ausgelesen werden. Ausserdem besteht die Möglichkeit eines Pufferüberlaufes, über den beliebiger Code auf der Maschine ausführbar ist. Hierzu genügt es, 208 Byte (oder mehr) zu senden, die nicht zu den Konfigurationsparametern passen. Eine Demonstration ist dem Advisory zu entnehmen, ein Patch wird wohl demnächst veröffentlicht. |
||||
|
|
||||
Der Shopping Cart von PDGSoft hat zwei ausführbare Dateien (redirect.exe und changepw.exe), die mit einem Pufferüberlauf zum Absturz gebracht werden können. Sie sind über das Web ansprechbar - und damit können Angreifer jeden beliebigen Code auf dem Server ausführen. Es wird empfohlen, einen Patch zu installieren. |
||||
|
|
||||
Mailsite gestattet es Benutzern, ihre Mail über das Web zu lesen, das verwendete Protokoll ist POP3. Der Service arbeitet auf Port 90. Durch die Übergabe "spezieller Kommandos" ist es Angreifern möglich, einen Pufferüberlauf zu provozieren. Dadurch kann im Prinzip jedes beliebige Kommando auf dem Server ausgeführt werden. Es wird empfohlen, einen Patch zu installieren. |
||||
|
|
||||
Seit dem letzten Summary im Februar 2000 hat das
US-CERT viele Meldungen erhalten. Die Hauptthemen waren: |
||||
|
|
||||
Im letzten Monat wurden 78 (!) neue Risiken gefunden: Weitere Informationen finden sich auf dem Server von ISS. |
||||
|
|
||||
Eine in /usr/lib/majordomo/resend und /usr/lib/majordomo/wrapper
gefundene Sicherheitslücke gestattet es, Kommandos mit erhöhten
Rechten auf der Maschine auszuführen. Die Installation des Patches
wird empfohlen: |
||||
|
|
