Meldungen im Januar 1998

Microsoft Exchange Server	SMTP Denial-of Service Gefahr: Microsoft Bereits im letzten Jahr wurde die Möglichkeit, per SMTP den Microsoft Exchange Server 4.0 und 5.0 zum Absturz zu bringen, veröffentlicht. Version 5.5 ist hiervon nicht betroffen. Microsoft weist darauf hin, daß bei den genannten Versionen des Exchange Servers das Service Pack 1 installiert werden sollte. Ansonsten kann durch die Angabe einer Mail From: bzw. RCPT To: Adresse, die länger als 1kB ist den Server abstürzen. Zusätzlich kann u.U. beliebiger Code auf dem Server zur Ausführung gebracht werden. Es wird dringend empfohlen, den entsprechenden Service Pack zu installieren!
Viele Unix	Sicherheitsrisiko durch elm-2.4/filter: KSRT-007, ESB-98.016 Im Programm filter, das bei elm Version 2.4 mit enthalten ist, sind zwei mögliche Sicherheitslücken aufgetreten. Die erste betrifft die Behandlung von From: und Reply-To: Angaben, die länger als 512 Byte sind. Je nach Konfiguration kann es vorkommen, daß nicht berechtigte Benutzer in das Spoolverzeichnis schreibend zugreifen können. Die zweite Lücke tritt durch einen Pufferüberlauf in filter auf, wodurch lokale Benutzer auch lesend in das Spoolverzeichnis greifen können. Hierdurch sind auch die Mails anderer Benutzer lesbar. Außerdem können hierdurch beliebige Kommandos als User, unter dem filter läuft, abgesetzt werden. Es wird empfohlen, das Programm filter entweder wie im Advisory beschrieben zu fixen oder zu deinstallieren. Elm Version 2.5 umfaßt das Programm filter nicht mehr.
Microsoft Windows NT und 95	Mögliche Sicherheitslücke durch lange Dateinamen: MS-Q179148, ESB-98.15, I-025A, CA-98.04, ERS-010.1, ESB-98.17, ESB-98.019, S-98-07 Bei der Verwendung des Internet Information Servers 4.0 oder Personal Web Servers 4.0 unter Windows NT bzw. Windows 95 kann es bei der Verwendung von FAT bzw. FAT32 dazu kommen, daß auch nicht zum Lesen freigegebene Dateien abgerufen werden können. Grund hierfür ist, daß die Dateien aus Kompatibilitätsgründen im 8.3-Format gespeichert werden - die Schreib- und Leserechte aber für die kurzen Dateinamen nicht übernommen werden. Systeme, die die ACLs von NTFS benutzen sind hiervon nicht betroffen. Microsoft empfiehlt, den nächsten Service Pack abzuwarten und hat für betroffene Systeme einen (nicht voll ausgetesteten) Fix für Intel und Alpha Prozessoren herausgebracht.
Microsoft Word 6.x und später	Makroviren in Word-Dokumenten: I-023, ESB-98.14, ERS-009.1 Die Anzahl der Makroviren für Word-Dokumente steigt ständig. In dem Advisory wird auf eine besonders bösartige Gattung hingewiesen, durch die Dateien manipuliert oder unwiederbringlich gelöscht werden können. Empfehlung: Scannen aller Dokumente vor Öffnung oder Installation eines Scanners, der die "scan on launch" Funktion integriert hat, Installation des SCANPROT.DOT Makro-Detectors im Word 6.0 bis 7.0 oder Einschalten der Macro Virus Detection in Word 7.0a und neuer.
Red Hat Linux	Mögliche Sicherheitsrisiken durch inc and msgchk: ESB-98.13 Red Hat Software, Inc. hat in einem Advisory veröffentlicht, daß durch Pufferüberläufe in den Programmen inc und msgchk (Teile des MH-Paketes) lokale Benutzer root-Zugang zum System bekommen können. Wenn das MH-Paket nicht benötigt wird, sollte es mit 'rpm -e mh' entfernt werden. Wird es benötigt, sollten folgende Patches installiert werden: Red Hat 5.0 i386: rpm -Uvh ftp://ftp.redhat.com/updates/5.0/i386/mh-6.8.4-5.i386.rpm , alpha: rpm -Uvh ftp://ftp.redhat.com/updates/5.0/alpha/mh-6.8.4-5.alpha.rpm Red Hat 4.x i386: rpm -Uvh ftp://ftp.redhat.com/updates/4.2/i386/mh-6.8.3-14.i386.rpm, alpha: rpm -Uvh ftp://ftp.redhat.com/updates/4.2/alpha/mh-6.8.3-14.alpha.rpm, SPARC: rpm -Uvh ftp://ftp.redhat.com/updates/4.2/sparc/mh-6.8.3-14.sparc.rpm
HP-UX 9.X, 10.X und 11.00	Denial-of-Service Gefahr durch land.c: HP-076, ESB-98.12, ERS-007.1, I-027 Wie in CA-97.28 berichtet wurde, sind auch Systeme unter HP-UX gegenüber Angriffen mit dem Programm land anfällig. Für Systeme unter HP-UX sind jetzt die entprechenden Patches erschienen.
HP-UX 8.X, 9.X, 10.X und 11.0	Mögliches Sicherheitsrisiko durch CUE: HP-074, ESB-98.010, ERS-005.1, I-027 Durch Sicherheitslücken im nur bis HP-UX 10.30 verwendeten Programm CUE ist es allen lokalen Benutzern möglich, alle Dateien des Filesystems zu manipulieren. HP empfiehlt, das Programm CUE und seine Komponenten zu löschen bzw. die Rechte zum ausführen dieses Programms zu löschen. Patches werden keine herausgegeben.
viele	Sicherheitsrisiko durch CDE: CA-98.02, ESB-98.009, S-98-04, ERS-008.1, S-98-04, I-028 Durch eine Lücke im setuid-root-Programm "dtappgather" des CDE (Common Desktop Environment) wird es lokalen Benutzern ermöglicht, unerwünschten priviligierten System-Zugriff zu erhalten. Denial-of-Service Angriffe gegen das System können ebenso durchgeführt werden. Welche Systeme betroffen sind und welche Patches installiert werden sollten, ist im Advisory angeführt, für HP-UX sind eigene Meldungen erschienen (HP-075, ESB-98.011, ERS-006.1, I-027)
Lotus Domino	Mögliche Sicherheitslücke in Domino durch falsche Konfiguration: l0pht, CNet, Wired Unter gewissen Umständen können unauthorisierte Benutzer durch Abrufen von Daten vom Web Server Daten von Festplatten und damit auch die Konfiguration des Servers abrufen, verändern oder löschen. Das Problem liegt in der Default-Einstellung der ACLs (Access Control Lists) für die Datenbanken, die für jeden Nutzer Lese- und Schreibrechte vorsieht. Die Schreibrechte müssen vom Administrator für jede einzelne Datenbank von Hand gelöscht werden. Das gleiche Problem tritt bei der Verwendung von Templates auf (in Version 4.6a nicht mehr!), auch hier müssen die Rechte von Hand geändert werden. Ein Tool zur Überprüfung der Sicherheit ist derzeit noch nicht verfügbar. Es sollten auf jeden Fall die von Lotus genannten Hinweise beachtet werden!
Unix	Sicherheitslücke im ssh-client: SNI-23, ESB-98.008, CA-98.03, CNet, ERS-004.1, S-98-05, I-026, S-98-06 Betroffen hiervon sind die freien Versionen von "ssh-agent" bis 1.2.21 und die kommerziellen Versionen von F-Secure kleiner 1.3.3. Durch diese Sicherheitslücke können unter gewissen Umständen Benutzer sich mit einem privaten RSA-Schlüssel eines anderen Benutzers auf anderen Maschinen anzumelden. Es sollte baldmöglichst die Version 1.2.22 (frei) bzw. ein Patch für Version 1.3.3 (F-Secure) installiert werden. Erstere ist auch beim DFN-CERT herunterladbar.
Unix und Windows NT	Mögliches Sicherheitsrisiko durch EWS1.1: VB-98.01, ESB-98.007, I-024, S-98-02, ERS-002.1 Excite for Web Servers, Version 1.1 (Unix und Windows NT) hat eine Lücke, durch die für Besucher des Web Servers die Möglichkeit besteht, beliebige Kommandos mit den Rechten, unter denen EWS läuft, auszuführen. EWS's Such-CGI ist in Perl geschrieben und ruft ein Programm auf, um die Suche durchzuführen. Die Aufgabe des Perl-Skriptes ist auch, das Suchergebnis in HTML darzustellen. Dieses betrifft nicht Besucher von Excite.com! Ein Patch für den Perl-Code ist für Unix und Windows NT verfügbar.
Amanda 2.3.0.x und 2.4.0 beta	Sicherheitslücken in älteren Versionen von Amanda: Amanda-044, ESB-98.006 In den genannten Versionen der Backup-Software Amanda sind Sicherheitslücken und Probleme mit amrecover aufgetreten, daher ist eine neue Version herausgegeben worden: Amanda 2.4.0b5.
Windows NT	Denial-of-Service durch teardrop: MS Q179129, ESB-98.005 Microsoft hat ein Advisory herausgegeben, in dem auf die Reaktion von Windows NT auf fragmentierte UDP Pakete eingegangen wird. Hierdurch bleibt Windows NT mit der Meldung STOP 0x0000000A stehen. Ein Patch für die US-Version ist von Microsoft herausgegeben worden.
Linux	Mögliches Sicherheitsrisiko durch deliver: KSRT-006, ESB-98.004 In den Distributionen Debian 1.3.1 und Slackware 2.x kann es beim Programm deliver (Version 2.0.12 und darunter) dazu kommen, daß lokale Benutzer beliebigen Code als root ausführen können. Grund hierfür ist, daß in der Funktion copy_message() u.U. der Puffer überschrieben werden kann. Im Advisory ist gezeigt, wie der Source-Code gepatcht werden kann. Für Debian 2.1.13-0 und 2.1.13-1 sind fertige Patches verfügbar.
Microsoft IE 4.x unter Windows 95 bzw. NT	Sicherheitsrisiko durch Pufferüberlauf: L0pht, CNet, Microsoft Durch das Betrachten von HTML-Seiten mit dem Internet Explorer 4.0 und 4.01 (Version 3.0 ebenfalls, wenn Visual Studio installiert ist) kann ein Pufferüberlauf provoziert werden, wodurch beliebiger (ausführbarer) Code durch Anhängen an den URL auf der Maschine ausführbar ist. Der Pufferüberlauf kann bei Aufrufen des Hilfesystems des IE auftreten (mk:). Die Hilfe wird z.B. mit mk:@MSITStore:C:\Windows\Help\iexplore.chm::/iexplore_welcome.htm abgerufen. Das Provozieren des Pufferüberlaufes und damit das Ausführen beliebigen Codes auf dem PC ist schwierig, aber machbar. Die Sicherheitsmechanismen des IE greifen nicht. Das Feature kann hier mit dem IE 4.0 bzw. mit dem IE 4.01 getestet werden - Vorsicht - , je nach Konfiguration von Windows und IE passiert eventuell nichts, der PC kann aber abstürzen. Microsoft hat einen entsprechenden Patch herausgegeben. Er kann nur mit Microsoft-Produkten heruntergeladen werden!
AIX 3.2, 4.x	Sicherheitsrisiko durch routed: ERS-001i, I-022, ESB-98.003 -updated- ERS-001i Wenn der mit AIX ausgelieferte routed installiert ist, werden unter bestimmten Voraussetzungen Pakete akzeptiert, mit denen beliebige Systemdateien angelegt bzw. modifiiert werden. Dadurch können Angreifer Zugang auf die Maschine bekommen. Von IBM ist ein temporärer Fix erschienen, Patches für AIX 4.x sind in Vorbereitung. Benutzer von AIX 3.2 sollten ein Upgrade auf die aktuelle Version durchführen.
viele	Mögliche Sicherheitslücke durch Apache httpd (<1.25): SNI-1301, ESB-98.002, S-98-03, VB-98.02, ERS-003.1 Wie von Apache gemeldet, bestehen bei den httpd, Versionen 1.2 bzw. 1.1 und älter, bei bestimmten Konfigurationen Lücken, durch die von außen auf die Maschine eingedrungen werden kann. Damit hätten Benutzer die Möglichkeit, die gleichen Rechte zu erreichen, die der User hat, unter dem der httpd läuft. Es wird empfohlen, ein Upgrade auf die Versionen 1.2.5 bzw. 1.3b3 durchzuführen.
fast alle	Denial-of-Service Gefahr durch ping: CA-98.01, ESB-98.001, I-021, ERS-001.1, S-98-01 Durch Benutzung des Programmes "smurf" ist es möglich, ICMP Echo Requests (ping) an die IP Broadcast Adresse zu schicken. Als Folge antwortet jedes System mit einem ICMP Echo Reply, was bei größeren Netzwerken zu erheblichem Netzwerkverkehr führen und schließlich die Nicht-Erreichbarkeit des Netzes zur Folge haben kann. Im Advisory sind die betroffenen Systeme und Abwehrmaßnahmen genannt.