| Microsoft Windows NT 3.51 und
4.0 |
NT Privilege Elevation Angriff:
MS98-09,
AA-98.03
Für das Ausnutzen einer Sicherheitslücke unter Windows
NT ist ein Programm im Internet aufgetaucht: sechole.exe.
Dieses führt einige Schritte durch, mit denen ein
normaler, an der Console eingeloggter Benutzer,
Administratorrechte auf dieser Maschine bekommen kann,
indem er beliebigen Code ausführen kann. Für die
US-Versionen sind Patches erschienen, die baldmöglichst
installiert werden sollten.Windows NT
4.0 x86, Windows NT
4.0 Alpha, Fixes für NT 3.51 und Windows NT Server
4.0 Terminal Server Edition erscheinen demnächst. |
| Netscape Communicator 4.0-4.05,
4.5b1 |
Long Filename Mail
Sicherheitslücke: Netscape,
I-077,
c't,
ESB-98.120,
ERS-084
Diese Lücke betrifft die Mail- und News-Komponenten des
Netscape Communicator 4.0 bis 4.05 und den Netscape
Communicator 4.5 Preview Release 1 unter Windows 3.1, 95,
98 und NT.
Durch diese Lücke kann unter gewissen Umständen auf der
lokalen Maschine beliebiger Code ausgeführt werden. Das
Attachment einer Mail bzw. eines News-Postings hat dazu
einen sehr langen Dateinamen, wodurch der Communicator
abstürzt und das Attachment ausgeführt wird. Netscape
sind keine Meldungen bekannt, daß dieser Effekt bereits
bei Kunden aufgetreten ist.
Bis von Netscape ein Patch
erschienen ist (in ca. 2 Wochen), wird dringend
empfohlen, Attachments nur als Links und nicht direkt
anzeigen zu lassen:
Communicator 4.0 - 4.05: Im Menue View
auswählen und im Punkt Attachments: As Links einstellen
Communicator 4.5 Preview Release 1: Im Menue
unter dem Punkt View nachsehen, ob View attachments
inline eingestellt ist. Wenn dieses der Fall ist, diesen
Punkt auswählen, er stellt sich dann auf View
attachments as links um. |
| Microsoft Outlook 98, Outlook
Express |
Sicherheitsrisiko durch Mail und News mit
langen Mime-Namen : MS98-08,
AA-98.02,
I-077,
c't,
ESB-98.120,
ERS-084,
ERS-085,
ERS-096,
S-98-49
und 49a
(!)
Outlook 98:
Wenn mit Outlook 98 versucht wird, eine E-Mail mit einem
Attachment, das einen sehr langen Dateinamen hat,
herunterzuladen, stürzt es ab. Der Effekt tritt auch
dann auf, wenn der Benutzer das Attachment nicht öffnet.
Ähnliches gilt für den Newsreader.
Outlook Express 4.x:
Wenn versucht wird, ein Attachment von Mail oder News zu
öffnen, das einen sehr langen Dateinamen hat, wird das
Programm gestoppt und verlassen.
In beiden Fällen kann u.U. auf der lokalen Maschine
beliebiger Code ausgeführt werden. Berichte, daß dieses
unbeabsichtigt vorgekommen ist, sind bisher keine
erschienen.
Es wird dringend empfohlen, die von Microsoft
herausgegebenen Patches zu installieren (Fixes für
internationale Versionen werden folgen):
Microsoft Outlook
98 für Windows 95, 98 oder NT 4.0
Microsoft Outlook Express 4.0 (Internet Explorer 4.0
unter Windows 95 98 oder NT 4.0): Zuerst muß ein Upgrade
auf 4.01
durchgeführt werden.
Microsoft Outlook
Express 4.01 für Windows 95, 98, NT 4.0 oder Macintosh
(Der Patch für Solaris ist angekündigt)
Weitere Informationen sind im Advisory
genannt.. Es sollten vorerst keine verdächtigen
Attachments geöffent werden. |
| Microsoft Exchange |
Potentielle SMTP und NNTP
Denial-of-Service Gefahr im Exchange Server 5.0 und 5.5: MS98-07,
I-080
Wenn durch einen Angreifer bestimmte Sequenzen nicht
korrekter Daten an Port 119/tcp eines Exchange Servers
geschickt werdne, kann ein Applikationsfehler provoziert
werden, durch den der Server Information Store nicht mehr
antwortet. Damit funktionieren auch andere
Exchange-Services nicht mehr. Ein einfacher Neustart der
Services bringt den Server wieder in seinen
Normalzustand. Es wird empfohlen, die von Microsoft
herausgegebenen Patches zu installieren:
Exchange Server 5.0 ALL LANGUAGES:
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Eng/Exchg5.0/Post-SP2-STORE/
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Eng/Exchg5.0/Post-SP2-IMS/
Exchange Server 5.5 ENGLISH:
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Eng/Exchg5.5/PostRTM/STORE-FIX
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Eng/Exchg5.5/PostRTM/IMS-FIX
Exchange Server 5.5 FRENCH:
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Frn/Exchg5.5/PostRTM/STORE-FIX
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Frn/Exchg5.5/PostRTM/IMS-FIX
Exchange Server 5.5 GERMAN:
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Ger/Exchg5.5/PostRTM/STORE-FIX
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Ger/Exchg5.5/PostRTM/IMS-FIX
Exchange Server 5.5 JAPANESE:
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Jpn/Exchg5.5/PostRTM/STORE-FIX
ftp://ftp.microsoft.com/bussys/exchange/exchange-public/fixes/Jpn/Exchg5.5/PostRTM/IMS-FIX |
| Microsoft IIS 2.0 - 4.0 |
Denial-of-Service Gefahr im IIS
FTP Server: MS98-06
Beim IIS können unter bestimmten Umständen bei
mehrfachen passiven FTP-Verbindungen Fehler, hohe
Systemlast und Situationen entstehen, durch die der IIS
nicht mehr ansprechbar ist (FTP und WWW). Dieser
Denial-of-Service kann durch jeden ausgelöst werden, der
den Server nicht mehr erreichbar machen will. Der FTP
Server kann auf diese Art 'abgeschossen' werden, nicht
aber die ganze Maschine. Es wird empfohlen, die von
Microsoft herausgegebenen Patches zu installieren
(US-Version):
Intel (IIS
2.0 and 3.0, 4.0),
Alpha (IIS
2.0 and 3.0, 4.0) |
| HP-UX 9.X, 10.X und 11.00 |
Mögliche Sicherheitslücke im ftp-Client:
HP
Security Bulletin #00079, I-078,
ERS-083,
S-98-47,
ESB-98.122
Auf HP9000 Systemen der Serien 700/800 unter HP-UX wurde
ein Sicherheitsrisiko gefunden. Der ftp-Client kann durch
einen ftp-Server so ausgetrickst werden, daß vom Server
aus Programme auf dem Client ausgeführt werden können.
Es wird empfohlen, die von HP
veröffentlichten Patches zu installieren.
| HP-UX release |
9.X |
PHNE_13595 |
| HP-UX release |
10.0,10.01,10.10 |
PHNE_13596 |
| HP-UX release |
10.16 |
PHNE_16006* |
| HP-UX release |
10.20 |
PHNE_13597
PHNE_15544 |
| HP-UX release |
10.24 |
PHNE_15802 |
| HP-UX release |
11.00 |
PHNE_14479 |
| * Das CMW release
(HP-UX 10.16) kommt nach dem 10.08.98 |
|
| MS Office 98 für MacIntosh |
Ungewollte Datenweitergabe mit Office
98: MS98-05,
I-075,
ERS-082
Bei Microsoft Office 98 unter MacIntosh wird das Löschen
eines Dokumentes nicht vollständig durchgeführt. So
kann es passieren, daß Fragmente einer gelöschten Datei
sich in einem neu angelegten Dokument wiederfinden. Wird
diese Datei weitergegeben, werden vom Ersteller des
Dokumentes u.U. sensitive Daten an den Empfänger
weitergereicht.
Es wird empfohlen, das von Microsoft herausgegebene Update zu
installieren. |
| viele |
Neues Scanning-Tool multiscan
('mscan'): AL-98.01,
I-073,
ERS-078,
S-98-50
Derzeit wird eine verstärkte Aktivität im Scannen von
Hosts und ganzen Netzwerken festgestellt. Es wird
vermutet, daß Angreifer ein neues Tool namens
'Multiscan' bzw. 'mscan' benutzen. Mit diesem Tool
können ganze Domains und komplette IP Adreßbereiche auf
bekannte Sicherheitslücken, z.B. in
statd
nfs
cgi-bin Programs (eg: 'handler', 'phf' & 'cgi-test')
X
POP3
IMAP
Domain Name Servers
finger
untersucht werden. 'mscan' gibt auch Informationen
über Subnetze, die durch 'wingate' versteckt scheinen.
Wie derartige Angriffe entdeckt werden können und was
dagegen gemacht werden kann, ist im Advisory
dargestellt. Mscan findet nur Maschinen, die im Netzwerk
sichtbar sind, Firewalls bieten einen Schutz gegen diese
Angriffsvorbereitung. |
| viele |
Sicherheitslücke in einigen
Implementationen des IMAP Servers: CA-98.09,
I-074,
ESB-98.117,
ERS-079,
S-98-44
In früheren Versionen des IMAP Servers der University of
Washington IMAP ist eine Möglichkeit gefunden worden,
einen Pufferüberlauf zu provozieren. Dadurch kann ein
Angreifer auf der Maschine beliebige Kommandos mit den
Rechten, unter denen der IMAP Server läuft, absetzen.
Wenn er unter root läuft, hat der Angreifer
Administrationsrechte auf der Maschine.
Welche Systeme und Versionen betroffen sind, wie
herausgefunden werden kann, ob der installierte IMAP
Server anfällig ist und welche Patches installiert
werden sollten, ist im Advisory
ausgeführt. |
| IRIX 6.4 |
Sicherheitsrisiko durch ioconfig
und disk_bandwidth: SGI19980701,
I-076,
ESB-98.118,
ERS-080,
S-98-45,
S-98-48
Das IRIX ioconfig Programm weist auf Silicon Graphics
oder Onyx2 Systemen allen I/O Geräten eine logische
Controllernummer zu. Das Programm disk_bandwidth wird
für die Festestellung der Anzahl von I/O Zugriffen auf
Disk-Devices genutzt. Beide Programme werden vom
Administrator eingesetzt. Eine Sicherheitslücke in den
beiden Programmen kann dazu führen, daß der
Root-Account auf der Maschine kompromittiert wird.
Es wird empfohlen, die Rechte der Programme so zu setzen,
daß sie nur noch vom Administrator ausgeführt werden
können. |
| IRIX 6.3 und 6.4 |
Mögliche Sicherheitslücke in mailcap:
SGI19980403,
ESB-98.119,
ERS-081,
S-98-46
Benutzer von IRIX 6.3/6.4, die die
Mime-Konfigurationsdatei mailcap benutzen, können eigene
Einträge in ihrem Homeverzeichnis tätigen ($HOME/.mailcap).
In dieser Datei werden Mime-Typen definiert, die die
Ausführung von Programmen ermöglichen. Holt sich der
Benutzer mit z.B. dem Netscape Navigator aus Versehen von
einer unbekannten Site ein Trojanisches Pferd (System
Manager Task), dann kann der Angreifer mit diesem
Trojaner u.U. Root-Rechte auf der Maschine erreichen.
Im Advisory
ist ausgeführt, welche Patches installiert werden
sollten. |
| Apache |
Sicherheitsprobleme des Apache Web
Servers unter WIN32: Apache
Es wurden einige Sicherheitslücken gefunden, die dann
auftreten, wenn der Apache Web Server unter WIN32
betrieben wird. Es wird empfohlen, die aktuelle Version 1.3.1
einzusetzen. |
| Microsoft IIS 4.0 und RDS 1.5 |
Unauthorisierter ODBC Datenzugang
mit RDS und IIS: MS98-004,
ESB-98.113
Der Remote Data Service (RDS) ist eine Teil der Microsoft
Data Access Komponenten (MDAC). Er wird defaultmäßig
bei der Installation des IIS 4.0 durch das Windows NT
Option Pack installiert.
Ein Browser, der sich unter Benutzung des RDS DataFactory
Objects mit dem IIS verbindet, kann durch den OLE DB
Provider veranlassen, daß Daten abgerufen und an den
Browser geschickt werden. Hierbei enthalten sind auch SQL
Befehle an ODBC-fähige Datenbanken, die die auf dem
Server installierten ODBC Treber benutzen. Hierbei ist es
unter gewissen Umständen möglich, daß auch
nicht-öffentliche Daten vom IIS abgerufen werden
können.
Im Bulletin
wird beschrieben, wie dieses Problem umgangen werden
kann. |
| NIS Servers |
Dezentraler DoS Angriff gegen NIS/NIS+
Netzwerke: ISS, I-070,
ESB-98.114,
ERS-076
Mit einem Angriff über das Kommando finger gegen mehrere
NIS Clients können ganze NIS-basierte Netzwerke und/oder
NIS Server ihre für den Betrieb notwendigen Ressourcen
verlieren. Das Problem liegt eigentlich im
finger-Service, die Folgen sind allerdings im gesmamten
NIS-Netzwerk lang anhaltend.
Es wird empfohlen, den finger-Service zu deaktivieren
bzw. zweifelhafte lookups durch die Konfiguration oder
andere Schutzmechanismen zu verhindern. Außerdem sollte,
wenn der finger-Service zwingend notwendig sein sollte,
er nur auf den Servern eingerichtet werden, wo er
notwendig ist. Am besten sollten diese Server nicht am
NIS beteiligt sein. |
| Cisco PIX |
Mögliche Sicherheitslücke durch falsch
eingesetztes established Kommando: Cisco707
Viele Administratoren machen Fehler bei der Nutzung der
Befehle established und static conduit. Durch den zweiten
Befehl wird ein Kanal von außen zu einem bestimmten TCP
oder UDP Port eines internen Servers freigeschaltet. Bei
einer Fehlkonfiguration kann es vorkommen, daß der
Zugriff auf alle Ports des internen Servers
freigeschaltet wird, ohne daß der Administrator dieses
will oder auch bemerkt.
Da die Umstände, unter denen die Nutzung des established
notwendig und sinnvoll ist, kann hier keine globale
Empfehlung gegeben werden. Es wird dringend empfohlen,
die durch die Firewall gebotene Sicherheit mit der
gewünschten Sicherheit zu vergleichen und ggf. die
Konfiguration der PIX entsprechend abzuändern. |
| OpenVMS (VAX und ALPHA) V7.1 |
Potentielles Sicherheitsrisiko durch loginout:
I-071,
ESB-98.115,
VB-98.07,
ERS-077,
ESB-98.121
Für OpenVMS (VAX und ALPHA) ist eine mögliche
Sicherheitslücke bekannt geworden, durch die Benutzer
mehr Rechte als vom Administrator gewünscht erreichen
können. Es wird empfohlen, die im Advisory
genannten Patches zu installieren. |
| Red Hat Linux |
Sicherheitsprobleme durch Samba,
und imap-4.1.final erschienen: ESB-98.110,
ESB-98.116
In allen Versionen von Samba, die zusammen mit
Red Hat Linux ausgeliefert wurden, sind ernste
Sicherheitsrisiken aufgedeckt worden. Benutzer sollten
baldmöglichst die Patches installieren und Samba durch /etc/rc.d/init.d/smb
stop; /etc/rc.d/init.d/smb start neu starten.
Bezüglich des imap-Updates wurde ein falscher
Befehl angegeben. Es wurden Sicherheitsrisiken in allen
imap-Versionen gefunden, die mit Red Hat Linux
ausgeliefert wurden. Wenn der Befehl "rpm -q
imap" liefert, daß imap auf dem System installiert
ist, sollte die u.a. neue Version umgehend installiert
oder der imap durch "rpm -e imap" ausgeschaltet
werden.
Red Hat 5.0 and 5.1, i386:
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/i386/samba-1.9.18p7-2.i386.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/i386/imap-4.1.final-1.i386.rpm
Red Hat 5.0 and 5.1, alpha:
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/alpha/samba-1.9.18p7-2.alpha.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/alpha/imap-4.1.final-1.alpha.rpm
Red Hat 5.0 and 5.1, SPARC:
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/sparc/samba-1.9.18p7-2.sparc.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/sparc/imap-4.1.final-1.sparc.rpm
Red Hat 4.2, i386:
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/i386/samba-1.9.18p7-0.i386.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/i386/imap-4.1.final-0.i386.rpm
Red Hat 4.2, alpha:
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/alpha/samba-1.9.18p7-0.alpha.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/alpha/imap-4.1.final-0.alpha.rpm
Red Hat 4.2, SPARC:
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/sparc/samba-1.9.18p7-0.sparc.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/sparc/imap-4.1.final-0.sparc.rpm |
| Solaris 2.6 (SPARC und x86) |
Sicherheitsrisiko durch SUNWadmap:
SUN Security Bulletin #00173,
I-072,
ESB-98.112,
ERS-075
Im Systemadministrations-Package SUNWadmap ist eine
Sicherheitslücke gefunden worden, durch die root-Zugang
zur Maschine erreicht werden kann. Dieses betrifft die
Versionen Solaris 2.6 Hardware: 3/98 und 5/98 Updates.
Es wird empfohlen, die im Advisory
genannten Patches
zu installlieren. |
| Solaris 2.3-2.6 (SPARC und x86) |
Mögliche Sicherheitslücke im libnsl:
SUN Security Bulletin #00172,
I-072,
ESB-98.111,
ERS-074
In libnsl, einer Network Services Bibliothek, sind
verschiedene Lücken gefunden worden. Es handelt sich um
Pufferüberläufe, durch die root-Zugang zur Maschine
erreicht werden kann.
Es wird dringend empfohlen, die von Sun Microsystems
empfohlenen Patches
zu installieren. Die Patchnummern sind im Advisory
aufgeführt. |
| Red Hat Linux |
Sicherheitlücken in dosemu
und libtermcap: ESB-98.107
Durch jetzt bekannt gewordene Sicherheitslücken in
dosemu und libtermcap können lokale Benutzer auf dem
System root-Rechte bekommen. Die folgenden Fixes sollten
so bald wie möglich installiert werden:
Red Hat 5.0 und 5.1, i386:
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/i386/dosemu-0.66.7-7.i386.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/i386/libtermcap-2.0.8-9.i386.rpm
Red Hat 5.0 und 5.1, alpha:
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/alpha/libtermcap-2.0.8-9.alpha.rpm
Red Hat 5.0 und 5.1, SPARC:
rpm -Uvh ftp://ftp.redhat.com/updates/5.0/sparc/libtermcap-2.0.8-9.sparc.rpm
Red Hat 4.2, i386:
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/i386/dosemu-0.66.7-0.i386.rpm
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/i386/libtermcap-2.0.8-4.1.i386.rpm
Red Hat 4.2, alpha:
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/alpha/libtermcap-2.0.8-4.1.alpha.rpm
Red Hat 4.2, SPARC:
rpm -Uvh ftp://ftp.redhat.com/updates/4.2/sparc/libtermcap-2.0.8-4.1.sparc.rpm |
| MacOS |
Gefahr für PowerPC durch den Autostart
9805 worm virus: I-067,
ERS-071,
ESB-98.108
Zur Zeit verbreitet sich weltweit der Autostart 9805 worm
virus auf PowerPC-Systemen. Er verbreitet sich über
Laufwerke unter HFS bzw. HFS+. Es werden Dateien
überschrieben, so daß die Wirkung auch nach einem
Denial-of-Service Angriff aussieht. Es werden ebenfalls
auf allen erreichbaren Partitionen Dateien angelegt, die
für den Benutzer nicht sofort sichtbar sind.
Es sollte auf jeden Fall ein Update der Virenpatterns von
Anti-Virus Tools vorgenommen werden. Einige kommerzielle
und nicht-kommerzielle Anti-Virus Tools sind im Advisory
aufgeführt. |
| viele Unix |
Sicherheitsrisiko durch qpopper:
AA-98.01,
CA-98.08,
I-069,
S-98-40,
ERS-073,
S-98-40
In Qualcomm's popper(8) POP Mailserver, der allgemein als
qpopper bekannt und ist für viele Unix-Versionen
verfügbar. Der popper(8) Server läuft mit root-Rechten
auf der Maschine, damit die Benutzer ihre Mail über das
POP Protokoll abholen können. Durch die ungenügende
Überprüfung der Eingaben in den Versionen kleiner 2.5
kann hierdurch ein Pufferüberlauf proviziert und damit
von Angreifern im Prinzip jedes beliebige Kommando als
root abgesetzt werden.
Es wird zur Umgehung dieses Risikos empfohlen, die neueste
Version des qpopper zu installieren oder den qpopper
auf der Maschine zu deaktivieren. |
| Microsoft IIS 3.0, 4.0 |
Mögliche Sicherheitslücke im Internet
Information Server: MS98-003,
I-068,
VB-98.06,
S-98-39,
ERS-072,
ESB-98.109,
S-98-39
Mit Web Browsern ist es möglich, bei Abruf von Daten vom
IIS Dateiinhalte zu lesen, auch wenn der Benutzer keine
Rechte dazu hat. Es wird empfohlen, den im Advisory
genannten Workaround zu installieren bzw. einen
entsprechenden Hotfix einzuspielen. Die verfügbaren
Hotfixes beziehen sich auf die US-Version von Windows NT:
IIS 3.0 (Intel x86) hotfix,
IIS 3.0 (Alpha) hotfix,
IIS 4.0 (Intel x86) hotfix,
IIS 4.0 (Alpha) hotfix |
