Meldungen im März 2000

Meldungen im März 2000
letzte Ergänzung: 12.04.00

Die meisten Links führen direkt auf die entsprechende Datei beim meldenden CERT bzw. andere Organisation. Die ständige Aktualität (speziell welche Gegenmaßnahmen zu ergreifen oder welche Patches zu installieren sind) ist damit sichergestellt. Und: Bitte nicht wundern, wenn einige Informationen via FTP geladen werden! Die meisten nachgeladenen Texte sind auf englisch. Übrigens: Wenn für Systeme Risiken veröffentlicht werden, heißt dieses nicht, daß die Systeme, für die keine Risiken veröffentlicht werden automatisch sicherer sind!		Click here for the English version
Hier geht's zu unserer Suchmaschine für Netzwerksicherheit

System:

Kurzbeschreibung und weitere Informationen:

viele

Artikel über Mobile Malicious Code: K-031
CIAC hat ein Advisory über schädlichen Mobile Code, der gerne an E-Mails angehängt wird, veröffentlicht. Viren und Würmer nutzen hauptsächlich Microsoft Outlook, Outlook Expert oder Exchange für ihre Verbreitung. Es wird in dem Advisory dringend empfohlen, von fremden E-Mails die Attachments nicht zu öffnen, speziell keine ausführbaren Dateien. Weitere Informationen finden sich im Advisory, das weitere wichtige Informationen bietet.

Microsoft Windows NT 4.0, 2000

Lücke durch spezielle TCP/IP Druckaufträge: MS00-021, NTShop, ERS-2000.055
Die TCP/IP Printing Services sind für Umgebungen mit LPD und LPR einrichtbar. Durch einen "speziellen" Druckauftrag zum Port 515/tcp kann TCPSVC.EXE zum Absturz gebracht werden, wodurch auch andere TCP Services wie DHCP nicht mehr zur Verfügung stehen. Der Service ist durch einen Restart (ohne Booten der Maschine) wieder einschaltbar. Übrigens, bei dem genannten Druckservice handelt es sich nicht um den Windows-eigenen Druckdienst.
Microsoft hat Patches veröffentlicht: Windows 2000 ( Professional, Server und Advanced Server), Windows NT 4.0 (Workstation, Server und Server, Enterprise Edition) für Intel und Alpha. Ein Patch für Windows NT 4.0 Server, Terminal Server Edition ist angekündigt.

Red Hat Linux

Sicherheitslücke in IRCII: RHSA2000:008
In ircii's Möglichkeit zum dcc chat besteht die Gefahr eines Pufferüberlaufes. Ein Angreifer kann hierdurch auf derm Maschine beliebigen Code mit den Rechten des IRC-Benutzers durchführen. Es wird empfohlen, den entsprechenden Patch zu installieren:
Red Hat Linux 6.2:
Intel:
rpm -Fvh ftp://updates.redhat.com/6.2/i386/ircii-4.4M-1.i386.rpm
Sparc:
rpm -Fvh ftp://updates.redhat.com/6.2/sparc/ircii-4.4M-1.sparc.rpm
Source:
rpm -Fvh ftp://updates.redhat.com/6.2/SRPMS/ircii-4.4M-1.src.rpm
Red Hat Linux 5.2:
Intel:
rpm -Fvh ftp://updates.redhat.com/5.2/i386/ircii-4.4M-0.5.2.i386.rpm
Alpha:
rpm -Fvh ftp://updates.redhat.com/5.2/alpha/ircii-4.4M-0.5.2.alpha.rpm
Sparc:
rpm -Fvh ftp://updates.redhat.com/5.2/sparc/ircii-4.4M-0.5.2.sparc.rpm
Source:
rpm -Fvh ftp://updates.redhat.com/5.2/SRPMS/ircii-4.4M-0.5.2.src.rpm
Red Hat Linux 4.2:
Intel:
rpm -Fvh ftp://updates.redhat.com/4.2/i386/ircii-4.4M-0.4.2.i386.rpm
Alpha:
rpm -Fvh ftp://updates.redhat.com/4.2/alpha/ircii-4.4M-0.4.2.alpha.rpm
Sparc:
rpm -Fvh ftp://updates.redhat.com/4.2/sparc/ircii-4.4M-0.4.2.sparc.rpm
Source:
rpm -Fvh ftp://updates.redhat.com/4.2/SRPMS/ircii-4.4M-0.4.2.src.rpm

SGI IRIX 5.3 und 6.2

Sicherheitslücke im objectserver daemon: K-030
Der objectserver(1M) daemon ist für Cadmin-Objekte wie Disks, Bänder und Benutzer-Accounts zuständig. Ausserdem benutzen Cadmin(1M)-Applikationen wie cpeople(1) den objectserver für die Verwaltung von Benutzeraccounts. Durch eine Sicherheitslücke ist es möglich, dass von nicht berechtigten Personen bestehende Benutzer modifiziert oder neue Accounts angelegt werden können. Wie der objectserver ausgeschaltet werden kann oder welche Patches zu installieren sind, ist dem Advisory zu entnehmen.

Microsoft Internet Information Server

Sicherheitsrisiko durch Virtuelle Verzeichnisse: MS00-019, ERS-2000.054, NTShop
Gegen eine Sicherheitslücke im IIS hat Microsoft jetzt einen Patch herausgegeben. Betroffen sind:
- Microsoft Internet Information Server 4.0 and 5.0
- Microsoft Proxy Server 2.0
- Microsoft Site Server and Site Server, Commerce Edition 3.0
- Microsoft Commercial Internet System 2.0 and 2.5
Unter bestimmten Bedingungen kann der IIS dazu "überzeugt" werden, die Source von .ASP- und anderen Dateien an die Besucher preiszugeben. Für den IIS 4.0 (Intel, Alpha) und IIS 5.0 ist ein Patch verfügbar. Der Proxy Server, Site Server, Site Server Commerce Edition und Microsoft Commercial Internet System setzen auf den IIS auf, der entsprechend gepatched werden sollte.

IBM AIX

Mögliche Sicherheitslücke in sendmail: sendmail, ESB-2000.045
Das Sendmail Consortium weist auf einen gefährlichen Seiteneffekt im AIX 4.x Linker hin. Wie viele andere Linker auch hat dieser während des Kompilierens die Eigenschaft, dass die während des Kompilierens gültige Pfad auch für die ausführbare Version gilt. Daher sind Übersetzungen mit der -L Option mit Vorsicht zu geniessen. Weitere Informationen und ein Workaround finden sich im Advisory.

Sun Solaris 7

Risiken durch BIND: Sun Security Bulletin #00194, ERS-2000.053
Wie bereits berichtet (CA-99-14), bestehen im BIND einige Sicherheitslücken. Dieses Advisory betrifft nur Solaris 7, andere Versionen sind nicht betroffen. Sun Microsystems hat einen Patch veröffentlicht, der installiert werden sollte:

System	Patch-ID
Solaris 7 (Sparc)	107018-02, 106938-03
Solaris 7 (Intel)	107019-02, 106939-03

SuSE Linux

Lücken in IMAP und IRCII: SUSE-043, SUSE-044
Im IMAP-Server wurde eine Sicherheitslücke gefunden: Angreifern ist es über das Netzwerk möglich, die IMAP-Authentisierung zu umgehen. Daher besteht auch die Möglichkeit, dass Fremde mit den IMAP-Administratorrechten z.B. Verzeichnisse anlegen oder löschen.
Ircii ist ein Package für einen IRC Client, der für das Chatten über IRC Server gedacht ist. Durch einen Pufferüberlauf im dcc chat Feature besteht bei ircii > 4.4M die Möglichkeit, dass Angreifer beliebige Kommandos mit den Rechten des gerade chattenden Benutzers ausführen.
Es wird empfohlen, die entsprechenden Patches von SuSE's Webpage for Patches zu installieren.

TurboLinux

Sicherheitslücken in mtr, man, htdig, MySQL, dump und nmh: TLSA2000:03, TLSA2000:04, TLSA2000:05, TLSA2000:06, TLSA2000:07, TLSA2000:08
Alle Probleme betreffen TurboLinux Version 6.0.2 und früher, außer die Lücke in htdig (Version 6.0 und früher).
mtr: Ältere Versionen von mtr geben die Root-Rechte nicht korrekt ab, daher können Angreifer die Kontrolle über mtr übernehmen und beliebigen Code mit diesen Rechten ausführen.
man: Dieses Programm arbeitet mit setguid. Für die meisten Calls wird system() genutzt, lokale Benutzer können dieses für ihre Interessen nutzen.
htdig: Eine Sicherheitslücke im Skript htsearch kann es Fremden erlauben, alle Dateien zu lesen, die der Web Server mit seiner uid erreichen kann - dieses kann z.B. auch die Datei /etc/passwd betreffen.
MySQL: Der MySQL-Server hat eine mangelhafte Passwortauthentisierung. Jeder, der sich mit dem Server verbinden kann, hat im Prinzip die Möglichkeit, Zugang zur Datenbank ohne Passwort zu erhalten.
dump: Dieses Programm arbeitet unter setuid und setgid Root. Einige Versionen von dump geben diese Rechte nicht korrekt zurück. Daher kann über einen Pufferüberlauf ein Angreifer beliebigen Code mit gid Root ausführen.
nmh: In nmh besteht die Gefahr eines Pufferüberlaufes durch eine mangelhafte Überprüfung von MIME-Headern. Angreifer können so Attachments schicken, die, wenn mhshow zum Lesen der E-Mail genutzt wird, dazu führen, dass beliebiger Code mit den Rechten des Betrachters auf der Maschine ausgeführt werden kann. Dieses kann leicht zu einem Root-Exploit führen.
Weitere Informationen und Links zu den Patches finden sich in den Advisories.

Microsoft Internet Information Server 4.0

Denial-of-Service durch Chunked Encoding Post: MS00-018, ERS-2000.052, NTShop, ESB-2000.053
Microsoft IIS 4.0 unterstützt auch verschlüsselte, gebündelte Transfers, wobei aber die Größe der hierfür reservierten Pufferspeicher nicht beschränkt ist. Ein Angreifer kann also einen extrem grossen Puffer für POST- oder PUT-Befehle anfordern, ohne irgendwelche Daten zu senden. Hierdurch wird der Speicher des Servers allokiert und steht damit anderen Benutzern nicht mehr zur Verfügung. Dieses kann bis hin zu einem vollständigen Denial-of-Service gehen. Microsoft hat für Intel und Alpha einen Patch veröffentlicht.

Cisco Secure PIX Firewall

Sicherheitslücken in FTP: Cisco, ERS-2000.050, ESB-2000.051
Die Cisco Secure PIX Firewalls mit Software der Versionen 4.2(5), 4.4(4) und 5.0(3), über die ein FTP Zugang gereglet werden, zwigen zwei Sicherheistlücken, Version 5.1(1) ist nur von der zweiten betroffen.
Die erste Sicherheitslücke tritt dann auf, wenn die Firewall eine Fehlermeldung vom internen FTP Server empfängt, in der ein Kommando enthalten ist. Dieses wird als "richtiges" FTP Kommando von der PIX ausgelegt. Hierdurch können weitere Verbindungen über die Firewall aufgebaut werden.
Das zweite Risiko tritt auf, wenn ein Client innerhalb des internen Netzwerkes einen externen Server aufruft und einem Link folgt, der dann von der PIX als zwei oder mehr Kommados interpretiert wird. Der Client baut also wie durch die Firewall gestattet eine Verbindung auf, eine zweite Verbindung durch die Firewall wird (unwissentlich) geöffnet.
Im "Fixup Protocol FTP" sind einige Änderungen vorgenommen worden, nähere Informationen finden sich im Advisory.

Microsoft Windows Media Technologies 4.1 und 4.0

Lücke durch Malformed Media License Request: MS00-016, ERS-2000.051, NTShop, ESB-2000.052
Der Windows Media License Manager gehört zum Windows Media Rights Manager, einer Komponente der Windows Media Technologies. Durch sie können Content-Provider kontrolliert auch durch Copyright geschützte Dateien (z.B. Media-Dateien) über das Netzwerk distributieren. Wenn der Windows Media Player geschützte digitale Medien öffnen will, geht eine Anfrage an den Server des Providers und schickt ihm die notwendigen Lizenzen. Hierdurch wird dann der Client berechtigt, die Datei zu laden. Durch eine spezielle Lizenz-Anfrage an den Server kann dieser zum Absturz gebracht werden - Denial-of-Service. Microsoft hat einen Patch zur Behebung dieses Problems veröffentlicht.

Microsoft Windows 9x

Risiko durch DOS Devicenamen in Pfadnamen: MS00-017, ERS-2000.049, ESB-2000.046
DOS Devices haben Namen, die in Windows als reservierte Worte gelten. An dieses hält sich Windows auch, so ist z.B. eine Referenz auf einen Pfad, der einen solchen Namen enthält, nicht gültig. Sind aber zwei Devicenamen in dem Pfad enthalten, klappt die Überprüfung nicht mehr, Windows versucht ihn zu interpretieren und stürzt ab.
Microsoft hat für Windows 95 und Windows 98 (auch SE) einen Patch veröffentlicht.

Netscape Communicator 4.0

Denial-of-Service durch HTML: NTShop
Der Netscape Communicator 4 kann durch einfachen HTML-Code zum Absturz gebracht werden. Ein Beispiel wird im Advisory gezeigt. Netscape arbeitet an einem Patch.

FreeBSD

Sicherheitslücken in mh, nmh, ja-mh, exmh, exmh2, ja-exmh2, lynx, mtr und orville-write: ERS-2000.045, ERS-2000.046, ERS-2000.047, ERS-2000.048, K-028, ESB-2000.047, ESB-2000.048, ESB-2000.049, ESB-2000.050, ESB-2000.055
MH und NMH sind häufig eingesetzte Mail User Agenten. EXMH und EXMH2 sind TCL/TK-basierte Frontends für das MH-System. Das Kommando mhshow, das für das Anzeigen von MIME-Attachments kann durch spezielle Attachments zu einem Pufferüberlauf gebracht werden, wodurch beliebiger Code mit den Rechten des entsprechenden Benutzers auf der Maschine ausführbar ist.
Lynx ist ein beliebter, textbasierter Web Browser. Die Software ist unsicher geschrieben, so dass vom Web Server aus auf die lokale Maschine des Benutzers zugegriffen werden kann.
In mtr ("Multi Traceroute") sind die Funktionalitäten von ping und traceroute zusammengeführt. Die Versionen 0.41 und niedriger gehen mit setuid root nicht richtig um, wodurch lokale Benutzer auf der Maschine Root-Rechte erhalten können.
Orville-write ist ein Ersatz für das write(1)-Kommando, das erweiterte Möglichkeiten bietet. Eines der Kommandos ist unsicher implementiert, es nutzt setuid root Rechte. Derartige Rechte sollte z.B. das Kommando 'huh' nicht haben.
Es wird empfohlen, die in den Advisories genannten Patches zu installieren.

Microsoft SQL Server 7.0

Risiko durch (leichte) Passwort-Verschlüsselung: ISS-045, NTShop, K-026
Loggt sich ein Datenbank-Administrator mit einem Roaming-Profil in eine Workstation ein, wird die Login-ID und das Passwort in einem Registry-Key gespeichert. Unter NT erfolgt beim Ausloggen die Speicherung der Daten in der Datei NTUSER.DAT, unter Windows 9x USER.DAT. EIn Angreifer kann diese Datei mit einem beliebigen Editor öffnen, die Login-ID herausfinden und versuchen, das Passwort zu entschlüsseln.
Microsoft empfiehlt, für den SQL-Server die in Windows integrierte Sicherheit zu nutzen. Bei der Anmeldung in einer Windows-Domain werden die Passworte nicht gespeichert. Auch sollte darauf geachtet werden, dass bei der Anmeldung beim Enterprise Manager, die Option "Always prompt user for login" ausgewählt ist.

SCO UnixWare 7.1.x

Lücke in EELS: SB-00.08
In UnixWare 7.1.0 und 7.1.1 ist die Möglichkeit für einen netzwerkbasierten Denial-of-Service Angriff gefunden worden. Anwenderndes EELS Systems wird empfohlen, SSE064 zu installieren (letter, binary).

Atrium Software

Denial-of-Service gegen Mercur Mail: NTShop
Im MERCUR Mailserver 3.2, POP3-Server (v3.20.01) für Windows 98/NT und IMAP4-Server (v3.20.01) für Windows 98/NT wurden Möglichkeiten für DoS gefunden: Verschiedene Pufferüberläufe sind entdeckt worden. Wird ein String mit einer Länge von ca. 3000 Zeichen an die genannten Server geschickt, ist dieses gleichzeitig ein effektiver DoS-Angriff. Atrium Software weiss von dieser Tatsache.

Microsoft Internet Explorer 5.0

Denial-of-Service durch HTML Code: NTShop
Bestimmter HTML-Code kann den IE 5.0 unter Windows NT zum Absturz oder dazu bringen, 100% der CPU zu brauchen. Normalbetrieb ist erst nach dem manuellen Verlassen des IE möglich. In einem Fall wurde auch gemeldet, dass eine E-Mail mit diesem Code Eudora Pro dazu gebracht wurde. Microsoft scheint an einem Patch zu arbeiten. Eine Demonstration des Effektes steht im Advisory zur Verfügung.

IRIX

Risiko durch den fam Service: NAI-016, ESB-2000.036
Der fam Daemon ist ein RPC Server, der Veränderungen im Dateisystem loggt. Er wird bei Systemen unter IRIX 5.X und 6.X per Default installliert. Die Sicherheitslücke kann über das Netzwerk dadurch ausgenutzt werden, indem bestimmte RPC-Pakete an den Daemon geschickt werden. Hierdurch erhält der Absender unberechtigterweise Informationen über Dateienamen und Verzeichnisse auf dem System. Ein Workaround ist im Advisory beschrieben.

Microsoft Windows NT

Risiko durch falsche Registry Rechte: MS00-008, ESB-2000.044, NTShop, ERS-2000.044, K-029
Bei drei Sets von Registry-Keys sind die Rechte zu weig eingeschränkt, wodurch folgende Risiken entstehen:
- Beliebiger Cause kann im lokalen Systemkontext durchgeführt werden.
- Code kann beim nächsten Einloggen eines Benutzers automatisch ausgeführt werden.
- Sicherheitsvorrichtungen können umgangen werden.
Diese drei Keys sind unabhängig voneinander. Microsoft hat ein Tool für Intel und Alpha veröffentlicht, wordurch die Rechte der betroffenen Keys korrigiert werden. Win2k ist hiervon nicht betroffen.

Debian Linux

Lücke in mtr: Debian0309
Die mit Debian GNU/Linux 2.1 distributierte Version von mtr geht nicht richtig mit den Root-Rechten um. Hiervon sind, soweit bekannt, gtk bzw. ncurses nicht betroffen. In Version 0.28-1 ist der Fehler behoben, näheres im Advisory.

Microsoft SQL Server 7.0 und MSDE 1.0

Sicherheitsrisiko durch SQL Query Abuse: MS00-014, ESB-2000.041, NTShop, ERS-2000.043, K-027
Der Microsoft SQL Server 7.0 und die Microsoft Data Engine (MSDE) 1.0 führen nur eine ungenügende Überprüfung von Eingaben durch. Dadurch kann ein Benutzer ein spezielles Select-Argument an die Datenbank schicken oder auch, wenn die Datenbank unter dem Administrator-Account läuft, beliebige Kommandos mit den entsprechenden Rechten auf dem System absetzen. Um diese Lücke auszunutzen, muss der Benutzer das Recht haben, Queries über ODBC, OLE DB oder die DB-Library abzusetzen. Weitere Rechte sind nicht notwendig. Microsoft hat einen Patch veröffentlicht.

Microsoft Windows

Gefahr durch ungeschützte Windows Netzwerk- Shares: IN-2000-02
Ein Hinweis des US-CERT: Angreifer nutzen auch heute noch aus, dass in Windows-Systemen Laufwerke ohne weiteren Schutz, z.B. durch ein Passwort, aus dem Internet heraus erreichbar sind. Derartig freigegebene Laufwerke können auch dazu genutzt werden, automatisch Software zu verteilen. Hierbei kann es sich z.B. um DDoS-Tools handeln, wie sie in IN-2000-01 beschrieben sind. Es ist also mitnichten so, dass nur das eigene System kompromittiert wird, sondern auch andere Systeme sind durch die Offenheit mancher Systeme gefährdet. Nährere Informationen und Gegenmaßnahmen sind im Advisory zu finden.

Microsoft Clip Art Gallery

Risiko durch Pufferüberlauf in Clip Arts: l0pht, MS00-015, NTShop, ERS-2000.042, ESB-2000.042
Benutzer der folgenden Programme, die die Clip Art Gallery benutzen, sind von dem genannten Problem betroffen:
- Microsoft Office 2000
- Microsoft Works 2000
- Microsoft PictureIt 2000
- Microsoft HP 2000
- Microsoft Publisher99
- Microsoft PhotoDraw 2000 Version 1
Die Microsoft Clip Art Gallery erlaubt es Benutzern auch über das Web sich neue Clip Arts herunterzuladen. Dieses kann z.B. über die Microsoft Clip Gallery Live Web Site oder andere Server geschehen. Hierzu wird das CIL Format genutzt. Es besteht die Gefahr eines Pufferüberlaufes, wodurch entweder die Software abstürzen oder aber auch beliebiger Code auf der Maschine ausgeführt werden kann. Microsoft hat einen Patch zur Behebung des Problems veröffentlicht.

Red Hat Linux

Microsoft Windows 9x

Denial-of-Service durch URL's: NTShop
Windows 95 and 98 kann durch URL's, die auf ein Device wie z.B. CON, AUX, NUL, etc) zeigt zum Absturz gebracht werden. Das Problem scheint in der WIn95/98 Desktop-Shell zu liegen, weil dieser Effekt auch mit anderen Applikationen erreichbar ist - so kann über "spezielle" Kommandos des WarFTPd auch das Betriebssystem abstürzen. Eine Demonstration dieses Problems ist im Advisory gezeigt.

Microsoft Internet Explorer 5.x und Outlook

Ausführen beliebigen Codes durch .chm-Dateien: NTShop, Update: NTShop
Im IE 5.x für Win95 und WinNT existiert eine Lücke, über die auf dem System beliebiger Code ausgeführt werden kann. Dieses geschieht über Dateien mit der Endung chm. Notwendig ist, dass das Microsoft Netzwerk installiert ist.
Das Problem liegt in der Methode window.showHelp(), die .chm-Dateien öffnet. Der IE gestattet es eigentlich nicht, dass dieses mittels HTTP über das Netzwerk geschieht, es ist aber trotzdem möglich, wenn sich diese Datei auf der lokalen oder einer gemappten Platte befinden. G. Guninski hat eine Demonstration veröffentlicht, Microsoft arbeitet an einem Patch.

HP Omniback

Neuer Denial-of-Service Angriff: NTShop
Dieses Problem betrifft HP Omniback 2.55, 3.0, 3.10 unter Microsoft Windows NT. Wird eine grosse Anzahl von Verbindungen zu Port 5555 einer Maschine aufgebaut, auf der Omniback läuft, so verbraucht der Prozess Omnilnet immer mehr Speicher ohne ihn wieder freizugeben. Hierdurch stürzt das System ab. Eine Demonstration ist im Advisory zu finden.

viele

Neues CERT-Summary: CS-2000-01, ESB-2000.035
In der letzten Zeit hat das US-CERT verstärkte Aktivitäten auf den folgenden Gebieten festgestellt:
- DDoS-Entwicklungen: Es werden immer mehr Maschinen gefunden, auf denen von Einbrechern Software zur Durchführung von Packet-Flooding Angriffen hinterlassen. Hierdurch sind auch gegen sehr gut angebundene Sites Denial-of-Service Angriffe möglich, weil sehr viele Maschinen gleichzeitig das Fluten durchführen.
- Sicherheitslücken in BIND: Sie werden auch heute noch sehr stark ausgenutzt, um auf Maschinen einzubrechen. Der Betrieb einer aktuellen Version des BIND wird dringend angeraten (z.B. BIND 8.2.2 P5)
- Verschiedene Sicherheitslücken in Vixie Cron: Durch das Ausnutzen dieser Lücken erhalten lokale Benutzer Root-Rechte auf der Maschine. Betroffen hiervon sind sehr viele Linux-Maschinen.
- Unberechtigte Root-Zugriffe: Die Lücken in WU-FTPD, AMD und verschiedenen RPC-Services bieten Angreifern auf nicht aktuell gehaltenen Systemen noch immer immense Möglichkeiten.
- Bösartige HTML-Tags: Es werden immer wieder Web Server gefunden, die bösartige HTML-Tags verwenden oder auch anfällig gegenüber bösartigen Client-Anfragen sind.

verschiendene Linux

Mehrere Sicherheitsrisiken in Vixie Cron: VN-2000-01
Es wird ein starker Anstieg von Einbrüchen in Maschinen beobachtet, die verschiedene Sicherheitsrisiken von bestimmten Versionen des clock-Daemons (speziell der von Paul Vixie geschriebene) beobachtet. Auch gibt es inzwischen verschiedene Tools, die frei verfügbar sind und diese Lücken ausnutzen - dadurch kann im Prinzip auch jeder Laie diese Lücken ausnutzen. Welche Distributionen genau betroffen sind und Links zu Patches finden sich im Advisory.

Debian Linux

Sicherheitslücke in nmh (auch als slink bekannt): Debian0229
Die Version von nmh, die mit Debian GNU/Linux 2.1 ausgeliefert wird, führt bei eingehenden Mails nur eine ungenügende Überprüfung durch. Dies kann mit Hilfe von MIME-Attachments dazu ausgenutzt werden, dass mhshow ausgetrickst wird und beliebiger Shell-Code auf der Maschine ausführbar ist. In Version 0.27-0.28-pre8-4 ist dieses behoben. Ein Upgrade wird dringend empfohlen, Links zu Patches sind im Advisory angeführt.

FreeBSD

Sicherheitslücken in MySQL und htdig: ERS-2000.039, ERS-2000.040, K-025, ESB-2000.040, ESB-2000.039
Der MySQL Datenbankserver (Versionen unter 3.22.32) hat einen Fehler im Authentisierungsmechanismus, wodurch jeder mit einem gültigen Benuternamen, aber ohne Passwort auf die Datenbank zugreifen kann. Mit anderen Worten: Der Authentisierungsmechanismus lässt sich vollkommen austricksen.
In dem CGI-Programm htsearch wurde für die Versionen unterhalb von 3.1.5 eine Lücke gefunden, die es allen Benutzern auch über das Netzwerk gestattet, jede beliebige Datei mit der ID von htsearch (beim Apache normalerweise der Benutzer nobody) auf der Maschine zu lesen.
Workarounds und Links zu Patches sind im Advisory zu finden.

viele

Neues ISS Summary: ISS, ERS--2000.041
In den letzten Wochen wurden 12 neue Risiken gefunden:
- trin00-dos (update)
- netgear-multiple-dos
- sambar-batfiles
- win-media-dos
- win-active-setup
- siteserver-sitebuilder
- netbsd-ptrace
- netbsd-procfs
- ie-image-source-redirect
- sco-openserver-arc-symlink
- iis-frontpage-info
- outlook-active-script-read
Weitere Informationen finden sich auf dem Server von ISS.

SuSE Linux

Sicherheitsloch in htdig: SUSE-042
Htsearch ist ein CGI Programm, das zu htdig gehört. Hier wird eine nur ungenügende Bereichsüberprüfung vorgenommen, so dass alle Dateien des Web Servers mit dessen Rechten nach aussen lesbar sind. Es wird empfohlen, die entsprechenden Patches von SuSE's Webpage for Patches zu installieren.

zurück zu den aktuellen Meldungen