Meldungen im Oktober 1998

Windows 95, 98 und NT

Risiken durch Remote-Control: DSB-9801
Das deutsche CERT weist in einem Sicherheitsbulletin darauf hin, wie die hauptsächlich durch Dritte eingesetzten Remote-Control Programme Back Orifice und NetBus erkannt und beseitigt werden können. Zusätzlich werden einige Hinweise zu prophylaktischen Gegenmaßnahmen gegeben.

Netscape Communicator

Probleme mit Java-Script
Im Communicator und Navigator ist wiederum eine Lücke gefunden worden, durch die der lokale Cache des Browsers und damit die besuchten Sites sowie Einträge in Forms, aber auch lokale Verzeichnisse gelesen und so im Prinzip auch an beliebige Adressen weitergeschickt werden können. Dieser Fehler kann auch durch E-Mail ausgenutzt werden, wenn der Mailer entsprechend unsicher aufgesetzt ist.
Zur Demonstration: Auslesen des Cache und Anzeigen des lokalen Verzeichnisses. Abhilfe: Ausschalten von Java-Script, auch wenn dieses bei einigen Versionen nicht immer möglich ist.

HP-UX

Probleme mit SharedX: HP Security Bulletin #00086, J-015, ERS-131, ESB-98.168
Der HP SharedX Receiver Service (recserv) sorgt dafür, daß Fenster ohne xhost-Aufruf ausgeführt werden können. Der Internet-Daemon (inetd) führt recserv aus, wenn entsprechende Anfragen an den in der Datenbank aufgeführten Port kommen. Durch bestimmte Einträge bei der Anfrage kann es dazu kommen, daß der aufgerufene Prozeß in einer Schleife landet.
Benutzer von HP-UX unter 10.01 sollten ein Upgrade durchführen, damit einer der folgenden Patches eingespielt werden kann:

HP-UX 10.01 HP9000 Series 7/800	PHSS_16646
HP-UX 10.10 HP9000 Series 7/800	PHSS_16647
HP-UX 10.20 HP9000 Series 7/800	PHSS_16648
HP-UX 11.00 HP9000 Series 7/800	PHSS_16649

AIX 4.3.x

Sicherheitslücke im automountd: ERS-004i, J-014, S-98-71, ESB-98.167
Der Daemon automountd verarbeitet Anfragen von der lokalen AutoFS Dateisystem Kernel-Erweiterung. Zum Finden der zu mountenden Dateien werden lokale Dateien oder der DNS eingesetzt. Im automontd wird nicht überprüft, ob die Anfrage wirklich aus dem Kernel kommt. Daher können lokale oder Remote-Benutzer Anfragen schicken und daher im Prinzip auch beliebige Kommandos als root absetzen.
Zur Überprüfung, ob der automountd auf Ihrem System in Betrieb ist, kann der Befehl # lssrc -s automountd genutzt werden. Ausschalten läßt der Prozeß vom Benutzer root mit # stopsrc -s automountd
IBM arbeitet an einem Fix. Bis dieser erscheint, kann ohne Gewähr ein temporärer Fix eingespielt werden. Wie dieser installiert wird, ist im Advisory beschrieben.

IRIX, Unicos

Silicon Graphics über die in CA-98.12 genannten mountd-Probleme: SGI-19981006, ERS-130, ESB-98.166
Silicon Graphics Inc. hat alle Versionen von IRIX, Unicos und Unicos/mk untersucht und festgestellt, daß keines dieser Systeme die im Advisory genannten Sicherheitslücken aufweisen.

Windows NT 4.0

Microsoft Windows NT Service Pack 4 ist verfügbar (US-Version):
Im Microsoft Windows NT Service Pack 4 sind die seit dem letzten Service Pack erschienenen Hotfixes für Windows NT Server 4.0 und Windows NT Workstation 4.0 eingearbeitet. Zusätzlich sind neue Updates zur Jahr-2000 Problematik und die Unterstützung des Euro-Symbols mit enthalten. Durch neue Komponenten wird die Funktionalität der Windows NT Plattform erhöht.
Vor der Installation sollte auf jeden Fall ein Backup durchgeführt werden, weil sie u.U. zu Problemen führen kann (einige Beispiele finden sich hier).

Microsoft IE 4

"Dotless IP Addressen" und Microsoft Internet Explorer: MS-98-016, ESB-98.165
Durch diesen Effekt können die Sicherheitsmechanismen im Internet Explorer durch Fremde umgangen werden. Die Sicherheitslücke erlaubt Betreibern von Web Servern, daß der IE den URL falsch interpretiert und der Server in der "lokalen Intranetzone" erscheint. Da hier andere Sicherheitsmechanismen als für z.B. die "Internetzone" andere Zonen eingestellt sein können, sind u.U. Aktionen möglich, die zwar in der "lokalen Intranetzone" erlaubt, in der "Internetzone" aber verboten sind.
Grund für dieses Problem ist die Art und Weise, wie der IE einen URL interpretiert. Eine 32-Bit Zahl als Host (z.B. http://3247778079) wird als gültiger Hostname anerkannt und der IP Stack löst diese Zahl in das normale Format von IP Adressen auf (hier z.B. als http://193.149.41.131 bzw. http://www.leu.de). Der IE interpretiert bei der Angabe von nur einer Zahl, daß der Server sich in der "lokalen Intranetzone" befindet. Abhängig von den Einstellungen des IE greifen auch die entsprechenden Sicherheitseinstellungen für diese Zone. Diese sind oft für das Intranet geringer als für das Internet eingestellt.
Es wird empfohlen, den von Microsoft herausgebrachten Patch zu installieren.

IRIX 6.2 - 6.5

Sicherheitslücke in autofsd: RSI.0010, SGI-19981005, ERS-128, J-013, ESB-98.164
Autofs ist ein RPC Server, der Anfragen zum Mounten und Umounten von Laufwerken im autofs-Dateisystem bearbeitet. Es werden lokale Dateien oder Einträge im Nameservice benutzt, um die entsprechenden Dateisysteme zu finden.
Wenn der Server eine Mapping-Anfrage eines Clients bekommt, versucht der Server herauszufinden, ob das Argument ausführbar ist oder nicht. Wenn das executable-Flag gesetzt ist, wird der Schlüssel des Clients angehängt und versucht, die Anfrage durchzuführen. Wenn der vom Client mitgeschickte Schlüssel mit einem Semikolon oder einer Leerzeile beginnt, kann durch Anhängen eines beliebigen Kommandos jeder nicht priviligierte Benutzer mit root-Rechten auf der Maschine diesen Befehl ausführen lassen.
Es wird empfohlen, den autofsd zu deaktivieren und aus den Startskripten des Servers zu entfernen. Wenn das Mounten von Dateisystemen notwendig ist, sollte bis zum Erscheinen von Patches mit automount gearbeitet werden.

Sun Internet Mail Server

Sicherheitsrisiko durch IMAP: SUN Security Bulletin #00177, ERS-127, ESB-98.163
Der Sun Internet Mail Server (SIMS) unterstützt IMAP, POP und die Mailtool-Clients. Der bei einigen Versionen von SIMS ausgelieferte IMAP-Server ist gegenüber den im CERT Advisory CA-98.09 genannten Risiken durch Pufferüberläufe empfindlich. Betroffen sind die Versionen 3.2, 3.2_x86, 3.1, 3.1_x86, 2.0 und 2.0_x86 des SIMS. Es wird empfohlen, die von Sun Microsystems herausgebrachten Patches zu installieren. Sie sind über den DFN-CERT ebenfalls verfügbar.

SIMS 3.2	Patch-ID 105935-09
SIMS 3.2_x86	Patch-ID 105936-09
SIMS 2.0	Patch-ID 105346-07
SIMS 2.0_x86	Patch-ID 105347-07
Sun Microsystems empfiehlt Benutzern, die Version 3.1 oder 3.1_x86 installiert haben, einen Upgrade auf 3.2 bzw. 3.2_x86, damit der entsprechende Patch eingespielt werden kann.

IRIX 3.x - 6.4

Sicherheitslücke in routed: SGI-19981004, ERS-126, J-012, ESB-98.162
Der Daemon routed(1M) wird für das Management von Routingtabellen eingesetzt und auf IRIX-Systemen per Default installiert. Durch eine Lücke können Debug- und Tracing-Informationen an beliebige Dateien auf dem betroffenen System angehängt werden. Ein Workaround ist nicht möglich. Entweder sollte der routed(1M) außer Betrieb gesetzt (auch Startskripten berücksichtigen) oder, wenn verfügbar, der entsprechende Patch installiert werden.

Microsoft IE 4.01

Untrusted Scripted Paste im Internet Explorer: MS-98-015, VB-98.12, ERS-125, J-011, ESB-98.161
Durch eine Sicherheitslücke im Internet Explorer können bestimmte Sicherheitsfeatures des IE übergangen werden. Beim Aufruf einer präparierten Web Site kann der Betreiber dieses Web Servers Daten auf der Festplatte des Benutzers ausspähen. Hierzu ist es notwendig, den genauen Verzeichnispfad der Datei zu kennen. Bei der Vielzahl von Standardinstallationen sollte das Erraten bei sehr vielen Benutzern leicht fallen.
Das Problem liegt darin, daß ein Script mit Hilfe der Funktion Document.ExecCommand einen Dateinamen in die Upload-Kontrolle einfügen kann. Dieses sollte nur explizit von einem Benutzer druchgeführt werden können.
Cuartango hat weitere Informationen über diese Lücke veröffentlicht. Ob Ihr IE anfällig gegenüber dieser Lücke ist, können Sie hier testen.
Es wird dringend empfohlen, den von Microsoft für den Internet Explorer 4.01 erschienenen Patch zu installieren. Als mindeste Schutzmaßnahme sollte das Active Scripting ausgeschaltet werden. Nähere Hinweise hierzu finden sich im Advisory.

IRIX 5.x - 6.5

Sicherheitslücke in Xaw library : VB-98.04, SGI-19981003, J-010, ESB-98.160, S-98-70, ERS-124
Wie bereits von der Open Group via CERT berichtet wurde, besteht in der Xaw Library eine Lücke, über die ein lokaler Benutzer root-Rechte auf der Maschine erhalten kann. Das Risiko eines Pufferüberlaufes besteht, wenn der Xaw Text widget in einem Programm benutzt wird, das mit setuid-Rechten läuft. Es wird empfohlen, die setuid-Berechtigungen entsprechend zu entfernen bzw. einen von Silicon Graphics herausgegebenen Patch zu installieren. Dieser wird auch vom DFN-CERT zur Verfügung gestellt.

IRIX 3.x - 6.5.1

Sicherheitslücke in xterm: VB-98.04, SGI-19981002, J-010, ESB-98.159, S-98-69, ERS-123
Wie bereits von der Open Group via CERT berichtet wurde, besteht durch das Provozieren eines Pufferüberlaufes im Programm xterm(1) die Gefahr, daß ein lokal registrierter Benutzer root-Rechte auf der Maschine bekommt. Es wird empfohlen, die setuid-Berechtigung von xterm zu entfernen bzw. einen von Silicon Graphics herausgegebenen Patch zu installieren. Dieser wird auch vom DFN-CERT zur Verfügung gestellt.

Cisco IOS

Command History am Login Prompt auszulesen: Cisco, VB-98.11, J-009, ERS-122, ESB-98.156, S-98-68
Ein Fehler in der Cisco IOS Software ermöglicht es unauthentisierten Benutzern, die z.B. mit Telnet den Login-Prompt des Routers erreichen, Fragmente von anderen Benutzern eingegebene Texte bzw. Kommandos zu lesen. Bei diesen könnte es sich um sensitive Daten handeln, die womöglich Paßworte enthalten. Die Sicherheitslücke betrifft nur Daten, die direkt in den Cisco eingegeben werden. Nicht auszulesen sind Daten von Paketen, die vom Cisco weitergeleitet werden. Ebenso ist es nicht möglich, Daten zu lesen, die z.B. von einer ausgehenden Telnet-Verbindung stammen.
Welche Versionen betroffen sind, ist ebenso wie ein Workaround und der Verweis auf Patches im Advisory enthalten.

FreeBSD 2.2.x

Denial-of-Service durch TCP RST Pakete: BSD-SA-98.07, J-008, ERS-121, ESB-98.158, S-98-67
TCP/IP-Verbindungen werden durch sequentiell durchnumerierte Pakete, die zwischen den beiden verbundenen Computern ausgetauscht werden, kontrolliert. Kommen Pakete, die zu alten Verbindungen gehören bzw. vom empfangenden Rechner nicht erwartet werden, kann die Verbindung mit einem Paket, bei dem das RST-Flag gesetzt ist, zurückgesetzt werden. Eine gültige Sequenznummer muß im Paket enthalten sein. Durch das Ausnutzen einer Lücke bei der Interpretation der Sequenznummer im RST-Paket können Angreifer die Verbindungen auch anderer Benutzer zurücksetzen. Dieser Angriff wurde oft bei Benutzern angewandt, die Verbindungen zu IRC-Servern aufgebaut hatten.
BSD hat einen Patch (tcp_input.c) veröffentlicht, ein Workaround ist nicht möglich.

SCO UNIX

Sicherheitslücke in mscreen: SCO-98.05, VB-98.10, ERS-120, ESB-98.153, ESB-98.155, S-98-66
In mscreen, mit dem mehrere Monitore angesprochen werden können, sind Sicherheitslücken gefunden worden, von denen eine Angreifern die Möglichkeit bietet, Administrationsrechte auf der Maschine zu erlangen.
Betroffen sind:
- SCO Open Desktop/Open Server 3.0 (alle, auch SCO UNIX 3.2v4)
- SCO OpenServer 5.0 (alle, auch SCO Internet FastStart)
- SCO CMW+ 3.0
Für SCO OpenServer 5 und SCO Open Desktop/Open Server 3 hat SCO Informationen und einen temporären Patch in Form eines System Security Enhancement (SSE) Paketes veröffentlicht.
Weitere Informationen sind dem Advisory zu entnehmen.

viele Unix, hs. Linux

Sicherheitsrisiko durch NFS mountd (rpc.mountd): CA-98.12, J-006, ERS-119, ESB-98.154, S-98-65
Mit NFS ist die Nutzung eines verteilten Dateisystems möglich, indem Clients das Dateisystem eines Servers nutzen können. Wenn ein Client an einen Server die Anfrage richtet, daß ein Server-Verzeichnis als lokale Ressource mit genutzt werden soll, wird dieses als "mounten" des Verzeichnisses verstanden. Die bekanntgewordene Sicherheitslücke betrifft die Software auf dem NFS Server, der die Client-Anfragen zum Mounten von Verzeichnissen bearbeitet.
Angreifer können durch das Provozieren eines Pufferüberlaufes auf dem NFS Fileserver administrativen Zugang zu dieser Maschine bekommen. Diese Sicherheitslücke kann sowohl lokal als auch über Netzwerk ausgenutzt werden, ein Account auf dem Server ist nicht notwendig.
Es wird empfohlen, von dem entsprechenden Hersteller herausgegebenen Patch zu installieren. Falls noch keiner erschienen ist, sollte den Anweisungen im Advisory zur Installation eines Workarounds gefolgt werden.

HP-UX 9.x, 10.x, 11.00 und andere

Sicherheitslücken in HP OpenView Omniback II: HP Security Bulletin #00085, J-007, ERS-118, ESB-98.157, S-98-64
Im HP OpenView OmniBack II (OB) sind mehrere Sicherheitslücken gefunden worden, die Benutzern mehr Rechte als vom Administrator eingetragen geben. Beispielsweise kann der Benutzer auf einem HP OpenView OmniBack II Client Zugriff auf dessen Dateien erreichen.
OB bietet Serverunterstützung für HP9000 Series 700/800 mit HP-UX und PC mit Windows NT. OB bietet Clientunterstützung für HP9000 Series 700/800 unter HP-UX, SunSparc unter Solaris, SunSparc unter SunOS, RS/6000 unter AIX, Novell, PCs unter Windows 95, PCs unter NT, SNI unter Sinix, SGI IRIX (nur EFS und XFS Dateisysteme) und Digital Unix.
Folgende Versionene sind von diesem Problem betroffen: OB 2.10 / OB 2.30 / OB 2.55. OmniBack II 2.50 ist durch 2.55 ersetzt worden. Die folgenden Patches sollten so bald wie möglich installiert werden:

OBII 2.55 auf HP-UX 10.X mit UNIX Clients:	PHSS_16473
OBII 2.55 auf HP-UX 11.X mit UNIX Clients:	PHSS_16474
OBII 2.55 auf HP-UX 10.X mit Windows Clients:	PHSS_16533
OBII 2.55 auf HP-UX 11.X mit Windows Clients:	PHSS_16534
OBII 2.10 auf HP-UX 9.X:	*PHSS_16477
OBII 2.10 auf HP-UX 10.X:	*PHSS_16478
OBII 2.30 auf Windows NT:	OMNIBACK_00004
* Hier ist die Abhängigkeit von den Patches PHSS_12864 und PSS_12865 für HP-UX 9.X und 10.X zu beachten.

Die Patches enthalten alle Binaries für alle Client-Plattformen.
Daneben ist eine weitere Lücke ist gefunden worden: OmniBack erlaubt die Ausführung von pre-/post-exec Kommandos als root bzw. Administrator auf jeder Client-Plattform. Im Advisory ist ein Workaround beschrieben.

IRIX 6.2, 6.4, 6.5.x

Sicherheitslücke in at: SGI-19981001, J-005, S-98-63, ERS-117, ESB-98.151
Das Programm at(1) wird benutzt, um Kommandos zu einem späteren Zeitpunkt auszuführen. In dieses Programm ist eine Lücke gefunden worden, durch die eingetragene Benutzer lokal und remote alle Dateien auf der Maschine lesen können.
Wie dieses Problem mit Patches bzw. Workarounds umgangen werden kann, ist im Advisory beschrieben.

Solaris 2.3 - 2.6, SunOS 4.1.x

Sicherheitsrisiko in ftp: SUN Security Bulletin #00176, ESB-98.150, ERS-116, S-98-62, J-004
Das FTP-Kommando ist das Standard-Benutzerinterface zum File Transfer Protocol (FTP). Mittels FTP werden Dateien von und zu entfernten Servern im Netzwerk übertragen. In der FTP Client-Software ist eine Sicherheitslücke gefunden worden, durch die von einem FTP Server aus der Client dazu gebracht werden kann, beliebige Kommandos auszuführen. Folgende Patches sollten installiert werden:

SunOS 5.6	106522-01
SunOS 5.6_x86	106523-01
SunOS 5.5.1	103603-09
SunOS 5.5.1_x86	103604-09
SunOS 5.5	103577-09
SunOS 5.5_x86	103578-09
SunOS 5.4	101945-60 (verfügbar in 9 Wochen )
SunOS 5.4_x86	101946-53 (verfügbar in 9 Wochen )
SunOS 5.3	101653-02
SunOS 4.1.4	104477-04
SunOS 4.1.3_U1	104454-04

IRIX 3.x - 6.5.1m

Sicherheitsrisiken durch Mail und mailx: SGI-19980605, ERS-114, ESB-98.149, S-98-61, J-002
Die Programme Mail(1)/mailx(1) werden bei IRIX Systemen per Default installiert. In verschiedenen Newsgroups und Mailinglisten wurde auf Sicherheitslücken hingewiesen, die in diesen Programmen enthalten sind. Lokale Benutzer können durch das Ausnutzen dieser Lücken über mailx(1) die Gruppenrechte dieser Datei bekommen, durch Mail(1) können Superuser-Rechte auf der Maschine erreicht werden.
Welche Patches zu installieren sind bzw. welche Workarounds helfen, diese Risiken zu umgehen, ist im Advisory aufgeführt.

IRIX

mail(1)/rmail(1M)/sendmail(1M) Sicherheitsrisiken: SGI-19980604, ERS-113, ESB-98.148, S-98-60
Gegen die in CA-96.20 genannten Risiken hat Silicon Graphics einige Patches geändert. Es werden die Patches 2309 (IRIX 5.3), 2231 (IRIX 6.2) und 2310 (IRIX 6.3 & 6.4) durch die Patches 3347 (IRIX 5.3), 3348 (IRIX 6.2), 3394 (IRIX 6.3 & 6.4) und 3393 (IRIX 6.5 with IRIX 6.5.1 Maintenance Release) ersetzt. Diese neuen Patches schließen eine Lücke in Mail(1) und beheben einige Fehler in der sendmail 8.8.8 Anti-Spam Konfiguration.

IRIX 6.2 - 6.5

Risiken durch die On-Line Customer Registration: SGI-19980901, ERS-112, ESB-98.147, S-98-59, J-003
Die IRIX On-Line Customer Registration Software wird benutzt, einen Link zu Silicon Graphics zu schalten, über den das Endbenutzer-Registrierungsformular eingeschickt werden kann. Durch einige Sicherheitslücken in diesem System besteht die Gefahr, daß der Administrationsaccount auf der lokalen Maschine kompromittiert wird.
Welche Patches zu installieren sind bzw. welche Workarounds helfen, diese Risiken zu umgehen, ist im Advisory ausgeführt.