Network Security

AERAsec
Network Security
Aktuelle Sicherheitsmeldungen


Die meisten Links führen direkt auf die entsprechende Datei der meldenden Organisation, damit Sie die Original-Meldung ebenfalls lesen können. Die Meldungen sind meist auf Englisch.

Übrigens: Wenn für Systeme Risiken veröffentlicht werden, heißt dieses nicht, daß die Systeme, für die keine Risiken veröffentlicht werden automatisch sicherer sind!

Sie setzen eine sichere Firewall ein?!

Wissen Sie, was sich sonst noch so in Ihrem Netzwerk tummelt?

Wir unterstützen Sie, indem wir auch bei Ihnen im internen Netzwerk die vorhandene Sicherheit (ohne Auswirkung auf Ihren Produktivbetrieb) prüfen.
Hier
finden Sie weitere Informationen dazu.

Auch unser Support-Team steht Ihnen gerne jederzeit zur Seite.
Erfahren. Zertifiziert. Engagiert.
Ihre Fragen beantworten wir gerne!

Das Standardwerk zur Check Point NGX

Hier finden Sie unsere Suchmaschine zur Netzwerk-Sicherheit!


Sie übermitteln u.a. folgende Informationen:

Ihr Browser

CCBot/2.0 (http://commoncrawl.org/faq/)

Ihre Absenderadresse

ec2-54-161-175-231.compute-1.amazonaws.com [54.161.175.231]

Ihr Referer

(gefiltert oder nicht vorhanden)

Aktueller Monat, Letzter Monat, Letzte 10 Meldungen, Letzte 20 Meldungen (nur Index)

Ausgewählt wurde Monat 01 / 2004

System: Sun Solaris
Topic: Sicherheitslücke in tcsetattr
Links: Sun Alert 57474, ESB-2004.0085
ID: ae-200401-091

Mit dem Kommando tcsetattr werden Parameter für einen Terminal gesetzt. Aufgrund einer Lücke können normale lokale Benutzer das System dazu bringen, dass es sich aufhängt. Um diese Art von Denial-of-Service (DoS) zu verhindern, hat Sun Microsystems jetzt Patches für Sun Solaris herausgegeben.

System: Check Point FireWall-1/VPN-1 NG AI R55
Topic: Sicherheitslücken in H.323 behoben
Links: Check Point Alert, ESB-2004.0082
ID: ae-200401-090

Wie bereits gemeldet (NISCC), zeigen verschiedene Implementationen für H.323 Schwachstellen. Diese betreffen nicht nur direkt Geräte für Voice over IP (VoIP), sondern auch Firewalls, die diese Protokolle filtern können. Check Point stellt für die aktuelle Version der FireWall-1 einen Hotfix zur Verfügung.

System: SGI IRIX
Topic: Neue userland binaries veröffentlicht
Links: SGI-20040104, ESB-2004.0078, ESB-2004.0106
ID: ae-200401-089

Aufgrund einiger Schwachstellen hat SGI jetzt für die userland binaries von IRIX Patches veröffentlicht. Diese Patches beheben Lücken im Konverter html2ps für die Wandlung von HTML-Dateien in PostScript, und Safe.pm. Außerdem nutzen gzexe und gznew für temporäre Dateien vorhersagbare Namen und libdesktopicon.so zeigt wie auch gr_oswiew einen Pufferüberlauf. Daher wird die Installation dieser Patches jetzt empfohlen.

System: FreeBSD
Topic: Sicherheitslücke in mksnap_ffs
Links: FreeBSD-SA-04:01, ESB-2004.0081
ID: ae-200401-088

Bei gemounteten Dateisystemen können unterschiedliche Flags gesetzt werden. Einige betreffen die Geschwindigkeit und Sicherheit, durch andere werden sicherheitsrelevante Dinge ein- bzw. ausgeschaltet. Hierzu gehört auch die Möglichkeit, eine Binärdatei auszuführen oder die Verwendung von Zugangslisten in Kombination mit den normalen Dateirechten unter Unix.
Das Kommando mksnap_ffs macht einen 'Schnappschuss" vom Dateisystem. Darunter wird eine statische Wiedergabe des Zustands des Dateisystems zu einem bestimmten Zeitpunkt verstanden. Sinnvoll ist dies beispielsweise, wenn die Kommandos 'fsck' oder 'dump' auf einem Live-System ausgeführt werden sollen. Das Kernel-Interface, mit dem ein solcher Schnappschuss gemacht wird, ist das Gleiche wie das zum Setzen von Flags. Sofern das Kommando mksnap_ffs direkt oder indirekt ausgeführt wird, kann es passieren, dass auf dem Dateisystem alle Flags zurückgesetzt werden. Die möglichen Konsequenzen hängen vom Zusammenhang, in dem dieses Kommando abgesetzt wird, ab. Es kann z.B. passieren, dass die erweiterten Zugangslisten nicht mehr wirken oder das setuid-Bit auch in nicht vertrauenswürdigen Verzeichnissen angewandt werden kann.
Ein möglicher Workaround ist, weder das Kommando mksnap_ffs noch das Kommando dump mit dem Flag -L zu nutzen. Besser ist sicherlich die Installation des jetzt veröffentlichten Upgrades.

System: Sun Solaris
Topic: Sicherheitsrisiko in pfexec
Links: Sun Alert 57453, ESB-2004.0079
ID: ae-200401-087

Ein lokaler Benutzer mit einem "Custom Rights Profile" (s. profiles(1)) kann Profilekommandos mit höheren Rechten als konfiguriert ausführen. Um dieses Problem zu lösen, hat Sun Microsystems jetzt für Sun Solaris die entsprechenden Patches veröffentlicht.

System: Cisco / Microsoft Windows
Topic: Sicherheitslücke in Cisco Produkten auf Microsoft Windows 2000
Links: Cisco, MS03-049, ESB-2004.0077, S-04-006
ID: ae-200401-086

Einige Produkte und Applikationen von Cisco nutzen Microsoft Windows 2000 als Betriebssystem. Der Workstation Service von Windows 2000 weist einen Pufferüberlauf auf, der im Microsoft Advisory MS03-049 detailliert beschrieben ist. Eine Liste der betroffenen Produkte kann dem Cisco Advisory entnommen werden. Cisco stellt Updates für betroffene Kunden bereit.

System: Microsoft Windows
Topic: Neue Variante von MyDoom / Novarg im Umlauf
Links: TA04-028A, ESB-2004.0075, S-04-005
ID: ae-200401-085

Wie bereits berichtet (ae-200401-070), grassiert der Wurm MyDoom, auch Novarg genannt, im Internet. Jetzt gibt es eine neue Variante, die u.a. einen Distributed Denial-of-Service (DDoS) Angriff gegen Microsoft.com einprogrammiert hat. Es wird empfohlen, die Anti-Virus Software aktuell zu halten. Nähere Informationen zu diesem Wurm finden Sie im o.g. Advisory.

System: SuSE Linux
Topic: Sicherheitslücke in gawk
Links: SUSE 8.2
ID: ae-200401-084

Die Funktion von awk/gawk ist, Dateien nach bestimmten Zeilen oder anderen Texteinheiten nach Mustern zu durchsuchen. Sofern eine Zeile auf das angegebene Muster passt, werden die konfigurierten Aktionen ausgeführt. Die Bearbeitung geht immer bis zum Ende der Datei. Die Art, wie gawk mit temporären Dateien umgeht, ist unsicher. Behoben wird dieses Problem jetzt durch einen Patch.

System: Macromedia
Topic: Sicherheitslücken in ColdFusion MX
Links: MPSB04-01, MPSB04-02, ESB-2004.0076
ID: ae-200401-083

Die Sandbox-Funktionalität der "ColdFusion MX 6.1 sandbox security" kann umgangen werden. Es ist möglich Java Objekte zu erzeugen, ohne CreateObject() or <cfobject> zu verwenden, auch wenn diese Features deaktiviert sind. ColdFusion MX (aka version 6.0) und ColdFusion MX 6.1 Standard edition sind hiervon nicht betroffen.
Ein bösartiger Benutzer kann durch konstruierte Anfragen mit vielen Formular-Feldern einen Denial-of-Service Angriff gegen ColdFusion MX 6.1 ausführen.
Patches sind jetzt verfügbar.

System: SGI Advanced Linux Environment
Topic: Sicherheitslücken in Ethereal, tcpdump, CVS und elm
Links: SGI-20040103, RHSA-2004-002, RHSA-2004-004, RHSA-2004-008, RHSA-2004-009, OAR-2004:0120
ID: ae-200401-082

SGI hat das SGI Advanced Linux Environment Security Update #9 veröffentlicht. Das SGI Advanced Linux Environment basiert auf Red Hat Linux, für das in der letzten Zeit einige Patches herausgegeben wurden. Mit dem jetzt verfügbaren Update werden Lücken in Ethereal, tcpdump, CVS und elm geschlossen. Es sollte möglichst zeitnah installiert werden.

System: Verschiedene
Topic: Sicherheitslücken in IBM Informix Dynamic Server und Extended Parallel Server
Links: OAR-2004:0119
ID: ae-200401-081

In den Datenbankservern IBM Informix Dynamic Server und IBM Informix Extended Parallel Server wurden mehrere Sicherheitslücken gefunden, die es einem lokalen Benutzer ermöglichen Root-Rechte zu erlangen. Neue Versionen stehen jetzt zur Verfügung.

System: Debian GNU/Linux
Topic: Sicherheitslücke in trr19
Links: DSA-430, OAR-2004:0121
ID: ae-200401-080

'trr19' ist ein Schreibmaschinentrainer-Programm für Emacs, das aus zwei setgid()-Binaries besteht. Da diese Programme ihre erweiterten Rechte nicht aufgeben, bevor sie Kommandos ausführen, kann ein lokaler Angeifer die Rechte der Gruppe 'games' erlangen. Fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: BEA
Topic: Verschiedene Sicherheitslücken in WebLogic Server und Express
Links: BEA04-47.00, BEA04-48.00, BEA04-49.00, BEA04-50.00, BEA04-51.00, OAR-2004:0108, OAR-2004:0109, OAR-2004:0110, OAR-2004:0111, OAR-2004:0112
ID: ae-200401-079

Von BEA wurden jetzt für verschiedene Lücken Patches herausgegeben. Sie betreffen die mögliche Wieder-Benutzung von SSL-Zertifikaten, den Schutz von Benutzerkennungen gegenüber Kompromittierung, die Möglichkeit von Benutzern, administrative Rechte zu erhalten und Maßnahmen zum besseren Schutz von Passworten. Wenn Sie den BEA WebLogic Server und Express einsetzen, sollten Sie bitte die entsprechenden Patches installieren.

System: Mandrake Linux
Topic: Sicherheitslücken in mc und tcpdump
Links: MDKSA-2004:007, MDKSA-2004:008, OAR-2004:0105, OAR-2004:0106
ID: ae-200401-078

Der Midnight Commander (mc) ist ein Dateimanager, der die Verwaltung von Dateien auf dem System vereinfacht. Er erinnert an den 'guten alten' Norton Commander. Sofern mit dem MC 'spezielle' Archive wie z.B. tar-Dateien geöffnet werden, kann es dazu kommen, dass auf dem System unberechtigterweise beliebiger Code ausgeführt wird.
Tcpdump ist ein Tool für die Kommandozeile zur Analyse von Netzwerktraffic. Im ISAKMP Decoder von 'tcpsump' wurden mehrere Sicherheitslücken gefunden. Ein Angreifer kann geeignet konstruierte Pakete an einen Rechner senden, auf dem 'tcpdump' ausgeführt wird. Durch diese Pakete wird ein Denial-of-Service erreicht oder möglicherweise Code ausgeführt.
Neue Pakete stehen jetzt für Mandrake Linux zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücke in GAIM
Links: e-matters012004, RHSA-2004-032, RHSA-2004-033, ESB-2004.0067, MDKSA-2004:006, SSA:2004-026-01, GLSA 200401-04, SA:2004:004, DSA-434 MDKSA-2004:006
ID: ae-200401-077

Bei Gaim handelt es sich um einen Instand Messenger Client, der unterschiedliche Protokolle beherrscht. Verschiedene Pufferüberläufe sind in Gaim 0.75 und früher zu finden. Sie treten auf, wenn bei einer Yahoo Web-Verbindung die Cookies durchsucht werden, beim YMSG beim Parsen der Web-Seite zum Login, ein Paketüberlauf im YMSG. Außerdem sind Fehler im URL-Parser und bei Verbindungen des Typs HTTP Proxy Connect vorhanden. Die Version 0.74 und früher zeigt außerdem einen Pufferüberlauf in der Funktion 'Extract Info Field', die bei der Bearbeitung der Protokoll-Header im MSN bzw. YMSG notwendig sind. Schließlich zeigen die gleichen Versionen einen Heap-Überlauf beim Belegen von Speicher für die Ergebnisse von directIM-Paketen. Es wird empfohlen, die jetzt aktualisierte Version zu installieren.

System: Mac OS X
Topic: Sicherheitslücke in TruBlueEnvironment
Links: @stake, Apple
ID: ae-200401-076

Das TruBlueEnvironment gehört zum Emulator für MacOS Classic. Es wird per Default installiert und ist mit dem Flag setuid root versehen. Im TruBlueEnvironment unter Mac OS X 10.3.x and 10.2.x werden die Werte von Umgebungsvariablen ohne weitere Prüfung in einen Puffer kopiert. Dieser befindet sich auf dem Stack, so dass prinzipiell durch einen Pufferüberlauf beliebiger Code mit den Rechten von Root ausgeführt werden kann. Mit dem Sicherheitsupdate vom 26. Januar 2004 wird dieses Problem behoben.

System: SuSE Linux
Topic: Probleme mit nmap
Links: SUSE 9.0
ID: ae-200401-075

Bei nmap handelt es sich um ein frei verfügbares Werkzeug zur schnellen Untersuchung großer Netzwerke, was aber auch für ein einzelnes System einsetzbar ist. Es werden auf unterschiedlichste Arten Portscans durchgeführt, das Ergebnis ist eine Liste ansprechbarer Ports auf den untersuchten Systemen. Unter SuSE Linux gibt es Diskrepanzen zwischen dem Kernel und dem User-Space bei der Berechnung von IP Prüfsummen. Daher ist der jetzt veröffentlichte Patch notwendig, damit nmap unter SuSE Linux 9.0 richtig arbeitet.

System: Sun Solaris
Topic: Sicherheitsrisiko im Runtime Linker ld.so.1(1)
Links: Sun Alert 55680
ID: ae-200401-074

Aufgrund eines Pufferüberlaufs im Runtime Linker ld.so.1(1) kann ein lokaler, unprivilegierter Benutzer Root-Rechte auf dem System erhalten. Um dieses Problem zu lösen, hat Sun Microsystems jetzt für Sun Solaris die entsprechenden Patches veröffentlicht.

System: Debian GNU/Linux
Topic: Sicherheitslücke in gnupg
Links: DSA-429, ESB-2004.0073
ID: ae-200401-073

Bei Gnupg handelt es sich um eine Software zum Verschlüsseln und unterschreiben von Daten, z.B. E-Mail. Aufgrund eines Fehlers im generieren und nutzen von ElGamal-Schlüsseln kann es dazu kommen, dass ein gravierender Sicherheitsfehler dazu führt, dass fast alle für das Unterschreiben genutzten ElGamal-Schlüssel kompromittiert werden. Ein jetzt veröffentlichtes Update schaltet die Nutzungsmöglichkeit dieses Schlüsseltyps aus.

System: Mac OS X
Topic: Verschiedene Sicherheitslücken geschlossen
Links: APPLE-SA-2004-01-26, ESB-2003.0872
ID: ae-200401-072

Ein Sicherheitsupdate für Puma, Jaguar und Panther steht jetzt zur Verfügung. Durch dieses Update werden Sicherheitsprobleme im AFP Server, Apache 1.3, Apache 2.0.x, Classic, Mail, Safari, System Configuration und Windows File Sharing behoben. Es wird empfohlen, das Update so bald wie möglich einzuspielen.

System: Red Hat Linux
Topic: Verschiedene Sicherheitslücken in Gaim
Links: RHSA-2004-032, RHSA-2004-033, ESB-2004.0067
ID: ae-200401-071

Bei Gaim handelt es sich um einen Instand Messenger Client, der unterschiedliche Protokolle beherrscht. Verschiedene Pufferüberläufe sind in Gaim 0.75 und früher zu finden. Sie treten auf, wenn bei einer Yahoo Web-Verbindung die Cookies durchsucht werden, beim YMSG beim Parsen der Web-Seite zum Login, ein Paketüberlauf im YMSG. Außerdem sind Fehler im URL-Parser und bei Verbindungen des Typs HTTP Proxy Connect vorhanden. Die Version 0.74 und früher zeigt außerdem einen Pufferüberlauf in der Funktion 'Extract Info Field', die bei der Bearbeitung der Protokoll-Header im MSN bzw. YMSG notwendig sind. Schließlich zeigen die gleichen Versionen einen Heap-Überlauf beim Belegen von Speicher für die Ergebnisse von directIM-Paketen.
Es wird empfohlen, das jetzt verbesserte Paket zu installieren.

System: Microsoft Windows
Topic: Schnelle Verbreitung des neuen Wurms MyDoom / Novarg
Links: BSI, ISS-161, AL-2004.02, IN-2004-01, Microsoft, CPAI-2004-02,
CA-2004-02, ESB-2004.0074
ID: ae-200401-070

Ein neuer Wurm, der für massenhaft E-Mails sorgt, verbreitet sich zur Zeit rasend schnell im Internet. Der Wurm kommt in Form einer E-Mail mit unterschiedlichen Betreff-Zeilen und gefälschten E-Mail Absenderadressen. Der Text der E-Mail ist ebenfalls unterschiedlich, Beispiele sind:
- The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
- The message contains Unicode characters and has been sent as a binary attachment.
- Mail transaction failed. Partial message is available.
Der Anhang ist eine Datei mit unterschiedlichen Namen und der Endung .zip, .exe, .pif, .cmd oder .scr. Einmal ausgeführt, kopiert sich der Wurm auf die Festplatte, schreibt sich in die Registry und durchsucht die Platte nach E-Mail Adressen, an die er sich dann verschickt. Eine weitere Verbreitung erfolgt über KaZaA. Außerdem öffnet er die Ports 3127/tcp bis 3198/tcp auf dem System, das dann von aussen ansprechbar ist. Zusätzlich versucht der Wurm, gegen die Web-Site www.sco.com einen Denial-of-Service Angriff durchzuführen.
Es wird dringend empfohlen, den Anhang dieser E-Mails nicht auszuführen und die Anti-Virus Software umgehend zu aktualisieren.
Bitte beachten Sie auch das CERT Advisory über Schadcode, der sich über E-Mail verbreitet (z.B. W32/Bagle, W32/Novarg, W32/Sobig and W32/Mimail)

System: Diverse Systeme
Topic: Neues, wöchentliches ISS Summary
Links: AS04-04
ID: ae-200401-069

In der letzten Woche wurden 48 neue Sicherheitslücken gefunden:

- mephistoles-httpd-xss - linux-ptrace-gain-privilege - photohost-http-negativelength-dos
- webcamxp-xss - bugs-userbaseconnect-obtain-information - hotpursuit2-bo
- honeyd-nmap-information-disclosure - outpost-icon-privilege-escalation - qmail-smtp-bo
- phpix-command-execution - solaris-kernel-module-gain-privilege - tbe-xss
- suse-3ddiag-symlink-attack - solaris-patches-disable-bsm - qshop-url-information-disclosure
- bagle-worm - ftpserver-responses-obtain-information - webcamlive-http-negativelength-dos
- yabb-ssiphp-sql-injection - intercon-printserver-gain-access - homeportal-form-xss
- webtrends-viewreportpl-path-disclosure - pointbase-insecure-permissions-dos - ciscovoice-ibmservers-admin-access
- freesco-thttpd-xss - ownserver-dotdot-directory-traversal - goahead-websurlhandlerrequest-view-source
- mamboos-modmainmenuphp-execute-code - egap-url-information-disclosure - mozilla-originpolicy-gain-access
- networker-nsrhutdown-symlink-attack - netware-enterprise-path-disclosure - pointbase-command-execution
- goahead-contentlength-post-dos - netscreen-information-disclosure - ultravnc-shellexecute-gain-privileges
- qshop-url-xss - homeportal-wralogin-directory-traversal - qshop-multiple-sql-injection
- netware-enterprise-cgi2perl-xss - hp-local-rwrite-bo - ciscovoice-ibmservers-dos
- netpbm-temp-insecure-file - ichain-url-xss - qmail-long-smtp-dos
- pointbase-information-disclosure - netcam-dotdot-directory-traversal - geohttpserver-long-password-bo
System: Sun Solaris 8/9
Topic: Sicherheitslücken in Perl
Links: Sun Alert 57473, ESB-2004.0071
ID: ae-200401-068

In den Perl-Modulen "Safe.pm" und "CGI.pm" wurden Sicherheitslücken gefunden. Das Perl-Modul "Safe.pm" zeigt eine Lücke, durch die lokale oder entfernte Benutzer Zugangslisten umgehen können. Im Modul "CGI.pm" wurde zusätzlich eine Lücke im Bereich Cross-Site-Scripting gefunden.
Patches stehen derzeit noch nicht zur Verfügung. Sun empfiehlt, die vom CERT CC herausgegebenen Hinweise zu lesen und umzusetzen.

System: Mandrake Linux
Topic: Sicherheitslücken in slocate und jabber
Links: MDKSA-2004:004, MDKSA-2004:005, OAR-2004:0102, OAR-2004:0103
ID: ae-200401-067

In 'slocate', einem Programm zur Erstellung von Dateiindizes und zur Suche nach Dateien, wurde eine Sicherheitslücke gefunden. Durch eine geeignet konstruierte Datenbank kann ein lokaler Benutzer einen Heap-basierten Pufferüberlauf erzeugen und die Rechte der Gruppe 'slocate' erlangen. Jabber zeigt einen Fehler bei der Behandlung von SSL-Verbindungen. Aufgrund dieses Fehlers kann der Serverprozess abstürzen, was einem Denial-of-Service (DoS) gleich kommt.
Neue Patches stehen jetzt zur Verfügung.

System: Sun Solaris
Topic: Sicherheitslücke im Kernel
Links: Sun Alert 57479, O-067, VU#702526, ESB-2004.0070, ESB-2004.0069, O-099
ID: ae-200401-066

Normale Benutzer sind unter Umständen in der Lage, beliebige Kernel-Module in den Kernel von Sun Solaris nachzuladen. Hierdurch können sie Root-Rechte erreichen. Es gibt keinen Workaround. Es ist notwendig, die jetzt erschienenen Patches zu installieren.
Sofern Sie Sun Solaris 9 einsetzen, beachten Sie bitte auch den Sun Alert 57478. Zwei Patches wurden jetzt zurückgezogen.

System: Turbo Linux
Topic: Sicherheitslücken in lftp und tcpdump
Links: TLSA-2004-2, TLSA-2004-3, OAR-2003:0099
ID: ae-200401-065

Bei lftp handelt es sich um einen kommandozeilenorientierten FTP-Client. Durch einen (bereits früher gemeldeten) Pufferüberlauf beim Abrufen von Daten eines Web-Servers über HTTP oder HTTPS kann es bei der Ausführung der Kommandos "ls" bzw. "rels" dazu kommen, dass aus einem speziell präparierten Verzeichnis des Servers heraus beliebiger Code auf dem System des Benutzers ausgeführt werden kann. Tcpdump ist ein Werkzeug, mit dem die Header von Paketen an einem Netzwerk-Interface ausgegeben werden können. Verschiedene Pufferüberläufe in den Routinen für ISAKMP und RADIUS können ebenfalls dafür sorgen, dass ein Angreifer durch geschickt angelegte Pakete beliebigen Code auf dem System des Benutzers ausführen kann.
Neue Pakete beheben jetzt die genannten Probleme.

System: SGI ProPack
Topic: Sicherheitslücken in stunnel and glibc
Links: SGI-20040102-01 OAR-2004:0101 RHSA-2003-418 SA-2003-049
ID: ae-200401-064

SGI hat den "Patch 10042 : SGI ProPack v2.3 security update" veröffentlicht, der zwei beschriebenen Sicherheitslücken im Kernel behebt.

System: Red Hat Linux
Topic: Sicherheitslücke in slocate
Links: RHSA-2004-040, RHSA-2004-041, ESB-2004.0066, ESB-2004.0068
ID: ae-200401-063

In 'slocate', einem Programm zur Erstellung von Dateiindizes und zur Suche nach Dateien, wurde eine Sicherheitslücke gefunden. Durch eine geeignet konstruierte Datenbank kann ein lokaler Benutzer einen Heap-basierten Pufferüberlauf erzeugen und die Rechte der Gruppe 'slocate' erlangen. Neue, fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücke in honeyd
Links: OAR-2004.0097, OAR-2004.0096
ID: ae-200401-062

'honeyd' ist ein virtueller Honeypot Daemon, der virtuelle Server auf unbenutzten IP-Adressen simulieren kann. Mit Hilfe solcher Honeypots sollen Angreifer angelockt und deren Verhalten auf dem (virtuellen) System studiert werden. Ein Fehler in der Handhabung von NMAP Fingerprints führt dazu, dass 'honeyd' auf TCP-Pakete mit gleichzeitigem SYN- und RST-Flag antwortet. Dadurch ist es möglich, die Existenz des 'honeyd' zu erkennen. Eine neue Version behebt dieses Problem.

System: Cisco
Topic: Sicherheitslücken in Cisco Voice Produkten auf IBM Platform
Links: Cisco, VU#602734, VU#721092, O-066, ESB-2004.0059
ID: ae-200401-061

Die Standardinstallation der Cisco Voice Produkte auf der IBM Platform installiert den Director Agent in einem unsicheren Zustand, der die vollständige Kontrolle durch einen Angreifer über das Netzwerk ermöglicht. Eine Liste der betroffenen Produkte kann dem Cisco Advisory entnommen werden. Cisco stellt ein Reperatur-Script bereit, das die offenen Ports schließt.

System: Solaris 9
Topic: Sicherheitslücke in in.iked
Links: Sun Alert 57472, VU#104280, ESB-2004.0063, O-065
ID: ae-200401-060

Die Internet Key Exchange (IKE) Implementierung in Solaris 9 verwendet ASN.1 Code vn SSH Inc. Aufgrund eines Pufferüberlaufes kann ein Angreifer über das Netzwerk den in.iked(1M) Deamon zum Absturz bringen, oder beliebigen Code mit Root-Rechte ausführen. Patches stehen jetzt zur Verfügung.

System: Trustix Secure Linux
Topic: Sicherheitslücke in slocate
Links: TSL-2004-0005, CAN-2003-0848, OAR-2004.0093
ID: ae-200401-059

In 'slocate', einem Programm zur Erstellung von Dateiindizes und zur Suche nach Dateien, wurde eine Sicherheitslücke gefunden. Durch eine geeignet konstruierte Datenbank kann ein lokaler Benutzer einen Heap-basierten Pufferüberlauf erzeugen und die Rechte der Gruppe 'slocate' erlangen. Neue, fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Verschiedene
Topic: Sicherheitslücke in MC
Links: CAN-2003-1023, RHSA-2004-034, RHSA-2004-035, ESB-2004.0062, ESB-2004.0087, SuSE 9.0, SuSE 8.2
ID: ae-200401-058

Der Midnight Commander (MC) ist ein Dateimanager, der die Verwaltung von Dateien auf dem System vereinfacht. Er erinnert an den 'guten alten' Norton Commander. Sofern mit dem MC 'spezielle' Archive wie z.B. tar-Dateien geöffnet werden, kann es dazu kommen, dass auf dem System unberechtigterweise beliebiger Code ausgeführt wird. Um dieses zu verhindern, sollte nur noch die jetzt veröffentlichte, neue Version eingesetzt werden.

System: HP-UX
Topic: Sicherheitslücken in Mozilla, rwrite und mountd
Links: HPSBUX0401-311, HPSBUX0401-312, HPSBUX0308-272, ESB-2004.0056, ESB-2004.0057, ESB-2004.0058, O-064
ID: ae-200401-057

Der Webbrowser Mozilla führt JavaScript u.U. im Sicherheitskontext von fremden Webseiten aus.
In '/usr/lbin/rwrite' wurde ein Pufferüberlauf gefunden, den ein lokaler Benutzer zur Erweiterung seiner Rechte ausnutzen kann.
Mit Hilfe von Fehlermeldungen, die von 'rpc.mountd' ausgegeben werden, kann die Existenz von Dateien ermittelt werden.
Patches sind jetzt verfügbar.

System: Conectiva Linux
Topic: Sicherheitslücke in screen
Links: CLA-2004:809, CAN-2003-0972,
ID: ae-200401-056

Bei Screen handelt es ich um einen Terminal-Multiplexter mit einer VT100/ANSI Terminal-Emulation. Hier besteht eine Lücke, aufgrund der ein Angreifer die Rechte der Gruppe utmp erreichen kann. Es wird empfohlen, die verbesserten Pakete herunterzuladen und zu installieren.

System: Debian GNU/Linux
Topic: Sicherheitslücke in slocate
Links: DSA-428, CAN-2003-0848, ESB-2004.0055
ID: ae-200401-055

In 'slocate', einem Programm zur Erstellung von Dateiindizes und zur Suche nach Dateien, wurde eine Sicherheitslücke gefunden. Durch eine geeignet konstruierte Datenbank kann ein lokaler Benutzer einen Heap-basierten Pufferüberlauf erzeugen und die Rechte der Gruppe 'slocate' erlangen. Neue, fehlerbereinigte Pakete stehen jetzt zur Verfügung.

System: Microsoft Windows
Topic: Neuer Microsoft Baseline Security Analyzer erschienen
Links: Microsoft
ID: ae-200401-054

Microsoft hat jetzt Version 1.2 vom Microsoft Baseline Security Analyzer veröffentlicht. Mit diesem Werkzeug wird Windows, verschiedene Server und Office-Produkte auf deren Aktualität bzw. fehlende Updates untersucht. Es steht in verschiedenen Sprachen zur Verfügung, darunter in englisch und deutsch.

System: SuSE Linux
Topic: Probleme mit CVSup
Links: SUSE 9.0
ID: ae-200401-053

Bei CVSup handelt es sich um ein Softwarepaket für die Software-Verteilung vom Master CVS (Concurrent Versions System) über das Netzwerk. So kann über das Netzwerk jede Art von Dateien, inkl. Sourcecode, Binärdateien, Hard- und Symbolic-Links und auch Device Nodes abgeglichen werden. Jetzt wurden öffentlich beschreibbare Verzeichnisse aus dem Suchpfad herausgenommen, da dies zu Sicherheitsporblemen führen kann. Es wird empfohlen, das überarbeitete RPM zu installieren.

System: Verschiedene
Topic: Sicherheitslücke in OpenCA
Links: CAN-2004-0004, VU#336446
ID: ae-200401-052

Beim OpenCA PKI Development Project handelt es sich um eine Certificate Authority, welche die Echtheit von z.B. öffentlichen Schlüsseln bestätigen soll. Die Überprüfung eines Zertifikats durch die Funktion libCheckSignature ist nicht unbedingt sicher, da hier lediglich die Seriennummer mit dem Eintrag in der Datenbank verglichen wird. So kann es passieren, dass 'aus Versehen' eine Vertrauensbeziehung aufgebaut wird. Dieses ist in der jetzt erschienenen Version 0.9.1.7 nicht mehr der Fall.

System: Diverse Systeme
Topic: Neues, wöchentliches ISS Summary
Links: AS04-03
ID: ae-200401-051

In der letzten Woche wurden 45 neue Sicherheitslücken gefunden:

- vsftpd-message-obtain-username - metadot-sql-injection - tru64-ipsec-ssh-gain-access
- simpledata-gain-unauth-access - php-shop-multiple-xss - modauthshadow-gain-unauth-access
- wwwfilesharepro-dot-dot-directory-traversal - xtremeaspphotogallery-or-sql-injection - phpgedview-path-disclosure
- antivir-tmpfile-insecure - jitterbug-execute-code - phpshop-information-disclosure
- hp-sharedx-insecure-files - accipterdirectserver-directory-traversal - weblogic-jdk-xml-dos
- helix-http-post-dos - sunone-web-server-bo - hp-libdtsvc-bo
- elm-frm-subject-bo - symantec-websecurity-blocked-xss - openca-improper-signature-verification
- suse-gnomefilesystem-tmpfile-insecure - phpgedview-newlanguage-dos - rapidcache-dotdot-directory-traversal
- manpagelookup-directory-traversal - thebat-pgp-memory-corruption - isa-h323-filter-bo
- phpgedview-multiple-xss - C07h2250v4-attacktool-malformed-packets - phpshop-shipping-script-injection
- www-filesharepro-get-dos - phpgedview-sql-injection - metadot-http-information-disclosure
- phpdig-config-file-include - ezcontents-php-file-include - mdac-broadcastrequest-bo
- weblogic-ant-password-disclosure - metadot-multiple-scripts-xss - tcpdump-isakmp-packet-dos
- rapidcache-host-get-dos - tcpdump-printattrstring-radius-dos - fishcart-rnd-integer-overflow
- alphalpd-multiple-connection-dos - antivirus-products-bzip2-dos - phpshop-multiple-sql-injection
System: Microsoft Windows
Topic: Warnung: Wurm W32.Beagle.A/Win32.Bagle.A verbreitet sich über E-Mail
Links: AL-2004.01
ID: ae-200401-050

Das australische CERT (AusCERT) warnt vor einem neuen Wurm, der massenhaft E-Mails verschickt und damit den Betrieb von Mailservern stören kann. Das Betreff solcher verwurmten E-Mails ist "Hi", der Text ist ein beliebiger String aus Buchstaben. Der Anhang der E-Mail ist eine Datei vom MIME-Type "application/x-msdownload" mit einem beliebigen Dateinamen. Einmal ausgeführt, sucht der Wurm nach E-Mail Adressen in Dateien mit den Endungen .wab, .txt, .htm und .html. Zusätzlich wird Port 6777/tcp geöffnet und der Wurm versucht über das Netzwerk verschiedene Web-Server zu erreichen, um die Infektion durch den Aufruf eines PHP-Skriptes zu melden. Aufgrund der eingebauten Routinen ist er nur bis zum 28. Januar 2004 aktiv.
Es wird dringend empfohlen, die AntiVirus-Software aktuell zu halten und den Datei-Anhang nicht auszuführen.

System: Debian GNU/Linux
Topic: Sicherheitslücke in netpbm-free
Links: DSA-426, VU#487102, ESB-2004.0052
ID: ae-200401-049

Bei netpbm handelt es sich um eine Sammlung mehrerer Programme für die Konvertierung von Grafiken. Viele dieser Programme legen temporäre Dateien auf unsichere Art an, so dass lokale Angreifer Dateien mit den Rechten des Benutzers, der diese Programme einsetzt, überschreiben können. Dieses kann durch die Installation der neuesten Version verhindert werden.

System: Debian GNU/Linux
Topic: Sicherheitslücke in MC
Links: DSA-424, ESB-2004.0050
ID: ae-200401-048

Der Midnight Commander (MC) ist ein Dateimanager, der die Verwaltung von Dateien auf dem System vereinfacht. Er erinnert an den 'guten alten' Norton Commander. Sofern mit dem MC 'spezielle' Archive wie z.B. tar-Dateien geöffnet werden, kann es dazu kommen, dass auf dem System unberechtigterweise beliebiger Code ausgeführt wird. Um dieses zu verhindern, sollte nur noch die jetzt veröffentlichte, neue Version eingesetzt werden.

System: Red Hat Enterprise Linux
Topic: Sicherheitslücken im Kernel geschlossen
Links: RHSA-2004:017, VU#337238, CAN-2004-0001, O-063, OAR-2004:0075
ID: ae-200401-047

Red Hat hat für sein Enterprise Linux 3 den ersten Update für den Kernel herausgegeben. Hierbei sind verschiedene Fehler behoben und einige Treiber auf den aktuellen Stand gebracht worden. Auch wird durch die Installation eine Sicherheitslücke geschlossen, durch die lokale Benutzer erhöhte Rechte mittels Root-Zugang zum System erhalten könnten. Daher wird empfohlen, den jetzt erschienenen Update zu installieren.
Bitte beachten Sie, dass Sie für den Download des Updates bei Red Hat eine gültige Zugangskennung inkl. Passwort benötigen.

System: SuSE Linux Enterprise Server
Topic: Sicherheitslücken im Kernel für die AMD64 Platform
Links: SA:2004:003, OAR-2004.0071
ID: ae-200401-046

Im Linux-Kernel für die AMD64 Platform wurden zwei Sicherheitslücken gefunden, die es einem lokalen Benutzer ermöglichen, auf dem System Root-Rechte zu erlangen. Neue Pakete, die diese Fehler beheben, stehen jetzt zur Verfügung.

System: Debian GNU/Linux
Topic: Sicherheitslücken im Kernel geschlossen
Links: DSA-423, DSA-427, DSA-433, ESB-2004.0047, ESB-2004.0054, ESB-2004.0092, O-059, O-071
ID: ae-200401-045

Für die IA-64 Architektur ist jetzt Kernel 2.4.17 herausgegeben worden. Es werden durch eine Rückportierung von 2.4.18 auf 2.4.17 viele Sicherheitslücken geschlossen, die bereits für Kernel 2.4.18 behoben wurden.

System: Red Hat Linux
Topic: Sicherheitslücke in Net-SNMP
Links: RHSA-2004-023, ESB-2004.0049
ID: ae-200401-044

Das Projekt Net-SNMP enthält verschiedene Tools für das Simple Network Management Protocol (SNMP). Ein Sicherheitsproblem in Net-SNMP vor Version 5.0.9 erlaubt es bestehenden Benutzern/Communities, auf die Daten von MIB-Objekten zuzugreifen, auch wenn dieses explizit verboten worden ist. Neue Net-SNMP Pakete beheben dieses Problem und weitere Fehler.

System: HP-UX
Topic: Sicherheitslücken in SharedX, libDtSvc, dtterm und calloc
Links: SSRT3476, SSRT3492, SSRT3507, SSRT2441, ESB-2004.0037, ESB-2004.0038, ESB-2004.0039, ESB-2004.0040, O-056, O-057, O-058
ID: ae-200401-043

Patches, die verschiedene Sicherheitslücken in HP-UX schließen, sind jetzt verfügbar.
'SharedX' greift auf unsichere Art und Weise auf Dateien zu. Ein lokaler Benutzer kann nicht autorisierten Zugriff erlangen oder Denial-of-Service Angriffe durchführen.
Ein Pufferüberlauf in 'libDtSvc' ermöglicht es einem lokalen Benutzer Root Rechte zu erlangen.
Bestimmte Escape Sequenzen in 'dtterm' können missbraucht werden.
'calloc' berechnet des Speicherbedarf falsch. Dies ermöglicht es Denial-of-Service Angriffe durchzuführen.

System: Verschiedene
Topic: Sicherheitslücke in kdepim
Links: KDE, CAN-2003-098, VU#820798, OAR-2004.0066, RHSA-2004-005, RHSA-2004-006, MDKSA-2004:003, OAR-2004.0067, SSA:2004-014-01, OAR-2004.0072, OAR-2004.0084
ID: ae-200401-042

Das K Desktop Environment (KDE) ist eine grafische Oberfläche für das X Window System unter Linux. Das KDE Personal Information Management (kdepim) hilft dem Benutzer bei der Verwaltung seiner Mails, Aufgaben, Terminen und Kontakten. Beim Einlesen der hierfür verwendeten VCF-Dateien kann es zu einem Pufferüberlauf kommen. Nutzt ein Angreifer diese Lücke aus, kann er im Kontext des Benutzers, der eine solche Datei einliest, beliebigen Code auf dem System ausführen. Es wird empfohlen, den jetzt erschienenen Patch zu installieren.

System: Red Hat Linux
Topic: Sicherheitslücke in elm
Links: RHSA-2004-009, CAN-2003-0966, ESB-2004.0043, O-055
ID: ae-200401-041

'elm' ist ein E-Mail User Agent für den Terminalmode. Im 'frm' Befehl von 'elm' wurde ein Pufferüberlauf gefunden. Ein Angreifer kann eine E-Mail mit einer überlangen Subject Zeile konstruieren, durch die beim Opfer bei der Benutzung von 'frm' beliebiger Code mit den Rechten des Opfers ausgeführt wird. Neue Pakete sind jetzt verfügbar.

System: Verschiedene
Topic: Sicherheitslücke in tcpdump
Links: OpenPKG-SA-2004.002, VU#738518, VU#174086, VU#955526, RHSA-2004-007, RHSA-2004-008, ESB-2004.0046, ESB-2004.0048, O-061, SuSE-SA:2004:002, DSA-425, ESB-2004.0051
ID: ae-200401-040

'tcpdump' ist ein Kommadozeilentool für die Analyse von Netzwerktraffic. Im ISAKMP Decoder von 'tcpsump' wurden mehrere Sicherheitslücken gefunden. Ein Angreifer kann geeignet konstruierte Pakete an einen Rechner senden, auf dem 'tcpdump' ausgeführt wird. Durch diese Pakete wird ein Denial-of-Service erreicht oder möglicherweise Code ausgeführt. Diese Fehler sind in neue, jetzt verfügbaren 'tcpdump'-Paketen behoben.

System: Red Hat Linux
Topic: Sicherheitslücke in kdepim
Links: RHSA-2004-005, RHSA-2004-006, ESB-2004.0041, ESB-2004.0045, O-054
ID: ae-200401-039

Das K Desktop Environment (KDE) ist eine grafische Oberfläche für das X Window System unter Linux. Das KDE Personal Information Management (kdepim) hilft dem Benutzer bei der Verwaltung seiner Mails, Aufgaben, Terminen und Kontakten. Beim Einlesen der hierfür verwendeten VCF-Dateien kann es zu einem Pufferüberlauf kommen. Nutzt ein Angreifer diese Lücke aus, kann er im Kontext des Benutzers, der eine solche Datei einliest, beliebigen Code auf dem System ausführen. Es wird empfohlen, den jetzt erschienenen Patch zu installieren.

System: Microsoft Windows
Topic: Zwei Patches überarbeitet
Links: MS03-045, MS03-051
ID: ae-200401-038

Von Microsoft wurden jetzt zwei Advisories überarbeitet. Das eine betrifft einen Pufferüberlauf in der ListBox und ComboBox Control (MS03-045), das andere einen Pufferüberlauf in den Microsoft FrontPage Server Extensions (MS03-051). Sofern Sie diese Komponenten einsetzen, werfen Sie bitte einen näheren Blick auf die überarbeiteten Advisories.

System: OpenBSD
Topic: Sicherheitslücken im isakmpd
Links: OpenBSD
ID: ae-200401-037

Verschiedene Lücken in der Behandlung von Messages im isakmpd sind jetzt bekannt geworden. Durch Ausnutzen dieser Lücken können Angreifer beliebige SAs (Security Associations) löschen, was zu einem Zusammenbruch der verschlüsselten Strecke (VPN) führt. Ein jetzt veröffentlichter Patch behebt dieses Problem genauso wie ein Leck im Filedescriptor, das beim Einsatz von Crypto Cards zu Problemen führen kann.

System: BEA
Topic: Sicherheitslücken in WebLogic Server und Express
Links: BEA04-45.00, BEA04-46.00, OAR-2004:0046, OAR-2004:0047
ID: ae-200401-036

Aufgrund eines Fehlers in der Sun Java Virtual Machine (JVM) können bestimmte Operationen beim Parsen von 'speziellem' XML dazu führen, dass der WebLogic Server abstürzt. Der Fehler in der JVM betrifft eigentlich nur lokalen Code, aber beim WebLogic Server kann er auch über das Netzwerk ausgenutzt werden.
Sofern ein Administrator die Ant Tasks "wldeploy", "wlserver" oder "wlconfig" nutzt, wird das Passwort im Klartext auf den Bildschirm ausgegeben, was beim sog. 'Shoulder Surfing' zum Kompromittieren des Accounts führen kann. Auch sind die Passworte in den Logdateien im Klartext enthalten.
Zur Behebung dieser Probleme stehen jetzt Patches bereit.

System: Microsoft Windows
Topic: Sicherheitsrisiko in den Microsoft Data Access Components (MDAC)
Links: MS04-003, VU#139150, O-053, ESB-2004.0033, Symantec, S-04-002
ID: ae-200401-035

Bei den Microsoft Data Access Components (MDAC) handelt es sich um Komponenten, die verschiedene Funktionalitäten für Datenbankoperationen bereitstellen. Wenn ein Client versucht, eine Liste der im Netzwerk aktiven SQL-Server zu erhalten, schickt er eine Broadcast-Anfrage aus. Durch eine Lücke in der MDAC-Komponente, kann ein Angreifer eine solche Anfrage mit einem 'speziellen' Paket beantworten, das beim Client für einen Pufferüberlauf sorgt. Hierdurch kann der Angreifer die gleichen Rechte wie das Programmm, das die Anfrage geschickt hat, erhalten. Dieses kann z.B. im lokalen SYSTEM Kontext sein. Microsoft empfiehlt ein Update der entsprechenden Komponenten. Für MDAC 2.5 bis 2.8 sind die entsprechenden Links für den Download dem Advisory von Microsoft zu entnehmen.

System: Microsoft Windows
Topic: Sicherheitsrisiko im Microsoft Exchange Server 2003
Links: MS04-002, VU#530660, O-052, ESB-2004.0032, S-04-003
ID: ae-200401-034

Es kommt zu Problemen mit der Behandlung von HTTP-Verbindungen, die bei der Nutzung der NTLM-Authentisierung wieder genutzt werden sollen, wenn im Frontend ein Exchange 2003 Server den OWA-Zugang (Outlook Web Access) unter einem Windows 2000 oder Windows Server 2003 anbietet und im Backend Exchange 2003 Server unter Windows Server 2003 eingesetzt werden.
Benutzer, die auf ihre Mailbox über Exchange 2003 mit Outlook Web Access zugreifen, können sich auch zu den Postfächern anderer Benutzer verbinden, sofern diese auf dem gleichen Server im Backend liegen und diese Mailbox erst kürzlich von dem (berechtigten) Benutzer über OWA eingesehen wurde. Insofern ist lt. Microsoft kein Zugriff auf bestimmte Postfächer möglich, der Zugriff ist also zufällig verteilt.
Üblicherweise wird heute die Authentisierung über Kerberos vorgenommen. Hier zeigt sich diese Lücke nicht.
Microsoft empfiehlt die Installation eines Updates für den Microsoft Exchange Server 2003.

System: Microsoft Windows
Topic: Sicherheitsrisiko im Microsoft Internet Security and Acceleration Server 2000 (ISA) H.323 Filter
Links: MS04-001, CA-2004-01, O-051, ESB-2004.0031, Symantec, S-04-004
ID: ae-200401-033

Im Microsoft ISA Server 2000, der auch häufig als Firewall eingesetzt wird, besteht ein Risiko bei der Filterung des H.323 Protokolls. Durch 'spezielle' Pakete kann es zu einem Pufferüberlauf kommen, der Angreifern auch die Ausführung beliebigen Codes im Kontext des Microsoft Firewall Service gestatten kann. So kann ein Angreifer im Prinzip die volle Kontrolle über das System geben. Per Default ist der Filter eingeschaltet, so dass hier diese potenzielle Lücke vorhanden ist. Microsoft hat jetzt Updates für den Microsoft Internet Security and Acceleration Server 2000, den Microsoft Small Business Server 2000 und den Microsoft Small Business Server 2003 herausgegeben. Microsoft weist darauf hin, dass der Microsoft Proxy Server 2.0 von dieser Lücke nicht betroffen ist.

System: Mandrake Linux
Topic: Sicherheitslücken in ethereal
Links: MDKSA-2004:002, OAR-2004:0050
ID: ae-200401-032

In Ethereal, einem Netzwerk-Analysetool, wurden zwei Schwachstellen entdeckt. Der SMB und Q.391 Dissektor vor Version 0.10.0 geben Angreifern die Möglichkeit, durch 'spzezielle' Pakete einen Denial-of-Service durch einen sog. Segmentation Fault zu provozieren. Ein Patch steht jetzt zur Verfügung.

System: Verschiedene
Topic: Schwachstellen in H.323 Implementierungen
Links: NISCC-006489, ESB-2004.0029, VU#749342, CA-2004-01, O-062, ISS-160, Cisco, O-050, ESB-2004.0030, MS04-001, ESB-2004.0031, Sun Alert 57476, ESB-2004.0053
ID: ae-200401-031

Der U.K. National Infrastructure Security Co-ordination Center (NISCC) berichtet über verschiedene Sicherheitslücken in der Implementation der Protokolle H.323 und H.225. Diese werden von unterschiedlichen Herstellern unterstützt und gelten als internationale Standardprotokolle für die Kommunikation über Telefon bzw. Multimediaanwendungen. Beispiele hierfür sind VoIP oder Video-Conferencing. Durch das Senden eines "speziellen" ASN-1-Elements an ein verwundbares System, das dieses nicht verarbeiten kann, besteht das Risiko eines Denial-of-Service oder sogar der Ausführung beliebigen Codes. Bitte achten Sie darauf, ob der Hersteller Ihres Systems bereits ein Update herausgegeben hat.

System: Verschiedene
Topic: Sicherheitsrisiko im Concurrent Versions System (CVS)
Links: ae-200401-001, CAN-2003-0977, RHSA-2004-003, RHSA-2004-004, ESB-2004.0042, DSA-422, ESB-2004.0034
ID: ae-200401-030

CVS ist das Concurrent Versions System, ein Open-Source Projekt für die Versionskontrolle. Es kann sowohl für einzelne Entwickler als auch für große Teams eingesetzt werden. Aufgrund eines Sicherheitsproblems (s.a. ae-200401-001) wurden die Versionen Stable CVS 1.11.11 und Feature CVS 1.12.5 herausgegeben. Diese sind jetzt von den ersten Herstellern verfügbar.

System: SuSE Linux
Topic: Sicherheitslücke in mpg321
Links: SUSE 8.2, SUSE 9.0
ID: ae-200401-029

Ein kommandozeilenorientierter MP3-Player ist mpg321. Von Benutzern übergebene Strings werden nur ungenügend überprüft an die Funktion printf gegeben. Hierdurch kann von einem Angreifer Speicher überschrieben und möglicherweise auch beliebiger Code ausgeführt werden. Damit diese Lücke ausgenutzt ausnutzbar ist, muss mpg321 eine vom Angreifer präparierte MP3-Datei über HTTP-Streaming aufrufen. Diese Lücke kann durch einen jetzt veröffentlichten Patch geschlossen werden.

System: Cisco
Topic: Verwundbarkeit im Verarbeiten von H.323 Messages
Links: Cisco, O-050, ESB-2004.0030
ID: ae-200401-028

Bei H.323 handelt es sich um ein Protokoll, das typischerweise für Voice over IP (VoIP, Internet-Telefonie) bzw. von Multimedia-Applikationen eingesetzt wird. Es wird vom Cisco IPS seit Version 11.3T unterstützt. Einige Produkte von Cisco zeigen Schwachstellen bei der Verarbeitung von H.323 Messages. Davon betroffen sind die Produkte, die unter der Cisco IOS Software laufen und die Weiterleitung von Paketen des H.323 unterstützen. Das kann auch Geräte betreffen, die das Session Initiation Protocol (SIP) oder das Media Gateway Control Protocol (MGCP) per Konfiguration unterstütze, da diese Protokolle auch die Unterstützung für H.323 aktivieren können. Ciscos der Serie AS5xxx sind auf jeden Fall anfällig, da aufgrund eines Fehlers die Unterstützung von H.323 nicht ausgeschaltet werden kann. Es wird empfohlen, die jetzt von Cisco herausgegebenen Patches zu installieren.

System: Microsoft Windows
Topic: Sicherheitsrisiko im Symantec LiveUpdate
Links: SRT2004-01-09-1022
ID: ae-200401-027

Symantec's LiveUpdate wird meist dazu genutzt, die Anti-Virus Software zu aktualisieren. Üblicherweise wird LiveUpdate mit den Rechten des Benutzers, der es aufruft, ausgeführt. Durch einen kleinen Trick mit LiveUpdate können lokale Benutzer die Rechte von SYSTEM auf der Maschine erhalten. Damit dieses funktioniert, muß das sog. Symantec Automatic LiveUpdate eingeschaltet sein. Betroffen hiervon sind Symantec LiveUpdate 1.70.x bis 1.90.x, Norton SystemWorks 2001-2004, Norton AntiVirus (und Pro) 2001-2004, Norton Internet Security (und Pro) 2001-2004 sowie Symantec AntiVirus for Handhelds v3.0. Es wird empfohlen, nur die aktuelle Version einzusetzen.

System: HP-UX
Topic: Sicherheitslücken im DNS und Resolver, XDR Bibliothek, rpc.yppasswdd und xdrmem_getbytes
Links: SSRT2316, SSRT2336, SSRT2330, SSRT2439, OAR-2004:0039, OAR-2004:0040, OAR-2004:0041, OAR-2004:0042,
ID: ae-200401-026

Verschiedene Advisories von Hewlett Packard wurden jetzt überarbeitet.
Im DNS (BIND) und dem Bibliotheken des Resolvers bestehen potenzielle Pufferüberläufe. Hierdurch kann unautorisierter Zugang zum System sowie ein Denial-of-Service möglich sein. Für HP-UX B.11.22 steht jetzt auch ein Patch zur Verfügung.
Wie bereits berichtet (z.B. CA-2002-25), kann durch einen Integer-Überlauf in der XDR-Bibliothek unautorisierter Zugang sowie ein Denial-of-Service erfolgreich sein. Jetzt stehen für alle Systeme, ausgenommen HP-UX B.11.04 und B.11.22 (libc.1) entsprechende Patches bereit.
Ebenso kann unautorisierter Zugang und Denial-of-Service durch eine Sicherheitslücke in rpc.yppasswdd erfolgen. Dieses kann durch die Installation der neuesten Patches unterbunden werden.
Der gleiche Effekt kann aufgrund eines Pufferüberlaufes in xdrmem_getbytes auftreten. Hier stehen jetzt überarbeitete Patches zur Verfügung.

System: Debian GNU/Linux
Topic: Sicherheitslücke in Apache: mod-auth-shadow
Links: DSA-421, ESB-2004.0027, O-060
ID: ae-200401-025

Der Apache Web-Server ist im Internet sehr weit verbreitet. Das Modul mod-auth-shadow authentisiert Benutzer beim Zugriff auf den Server gegen das im sog. Shadow gespeicherten Passwort. Hier stehen üblicherweise die Passworte des Unix. Eigentlich sollten aus diesen Daten auch Informationen über den Status des Benutzer-Accounts und sein Passwort ausgewertet werden. Dieses geschieht nicht, so dass auch Benutzer, die sich auf eine andere Art authentisiert haben, erfolgreich anmelden können - auch wenn in ihrem Account hinterlegt ist, dass sie sich nicht anmelden können sollen. Es wird empfohlen, den jetzt veröffentlichten Patch zu installieren.

System: Diverse Systeme
Topic: Neues, wöchentliches ISS Summary
Links: AS04-02
ID: ae-200401-024

In der letzten Woche wurden 38 neue Sicherheitslücken gefunden:

- firstclassclient-execute-code - phorum-register-sql-injection - postnuke-sortby-sql-injection
- sap-multiple-bo - thwboard-board-xss - phpgedview-pgvbasedirectory-file-include
- vbulletin-calendar-sql-injection - linux-domremap-gain-privileges - inn-artpost-control-message-bo
- goodtechtelnet-long-string-dos - phorum-common-xss - easydynamicpages-php-file-include
- word-protect-forms-bypass - zywall-xss - phpgedview-modify-admin-password
- realoneplayer-smil-xss - mpg321-mp3-format-string - kpymtelnetserver-multiple-connections-dos
- webcam-watchdog-get-bo - postcalendar-search-sql-injection - phpgedview-search-xss
- edimax-ar6004-xss - vbox3-gain-privileges - portalapp-url-access-database
- freznoshop-searchphp-xss - phpgedview-admin-info-disclosure - flashftpserver-dotdot-directory-traversal
- yahoo-messenger-filename-bo - nd-long-string-bo - hotnews-php-file-include
- jabber-ssl-connections-dos - snapstream-quotation-xss - leafnode-fetchnews-nntp-dos
- hdsoft-windowsftpserver-format-string - bulletscript-bsmlpl-obtain-information - lotus-notes-insecure-permissions
- ciscopersonalassistant-config-file-access - ie-lnk-code-execution
System: Debian GNU/Linux
Topic: Sicherheitslücke in jitterbug
Links: DSA-420, ESB-2004.0026
ID: ae-200401-023

Bei jitterbug handelt es sich um ein einfaches, GCI-basiertes Tool für Bugtracking und Reports. Die Eingaben von Benutzern werden nicht genügend genau überprüft, so dass ein Angreifer im Prinzip die Möglickeit hat, beliebigen Code auf dem Server, auf dem sich die Bug-Datenbank befindet, auszuführen. Um dies zu können, genügt aber die Anmeldung als Gast-Benutzer nicht. Auch muss der Administrator diesen Benutzer als "trusted" gekennzeichnet haben. Es wird empfohlen, die jetzt erschienene, neue Version zu installieren.

System: HP-UX
Topic: Sicherheitslücke im Sun ONE Web Server
Links: Sun Alert 57464, ESB-2004.0028
ID: ae-200401-022

Der Sun ONE Web Server ist ein professioneller, weit verbreiteter Web-Server. Er zeigt einen Pufferüberlauf, den ein unpriviligierter Benutzer über das Netzwerk auslösen kann. Somit kann es im Prinzip jeder, der Daten vom Web-Server abrufen kann. Dieser Denial-of-Service Angriff ist gegenüber dem Sun ONE/iPlanet Web Server 6.0 Service Pack 5 und früher möglich - allerdings nur für Server unter HP-UX. Es wird empfohlen, den jetzt veröffentlichten Patch zu installieren.

System: Debian GNU/Linux
Topic: Sicherheitsprobleme mit phpgroupware
Links: DSA-419, ESB-2004.0025
ID: ae-200401-021

Ein in PHP geschriebenes, web-basiertes Groupwaresystem ist phpgroupware. Hier wurden jetzt zwei Sicherheitslücken geschlossen: Im Modul "calendar" bestand bisher kein Zwang, dass die Funktion "save extension" für die sog. Holiday-Files wirklich umgesetzt wurde. Daher bestand die Möglichkeit, dass serverseitige PHP-Skripte in dem Verzeichnissen hinterlegt und beim Zugang von außen durch den Web-Server ausgeführt wurden. In dem neuen Paket ist die Endung "*.txt" für diese Dateien jetzt zwingend. Zusätzlich wurden Probleme mit SQL-Injection in den Modulen "calendar" und "infolog" behoben.

System: Verschiedene Anti-Viren-Scanner-Software
Topic: Denial-of-Service durch bzip2-Bombe
Links: AERAsec/bzip2bomb-antivirusengines, BugTraq, FullDisclosure, SecurityFocus/Bugtraq VulnID 9393,
HeiseNews, Heise SecurityNews, Heise PDA, Netzzeitung, LOTEK, pro-linux, IT-Audit, RotAlarm, Teccentral.de,
The Guardian, SANS, Secunia, ISS, Internet Storm Center, CCIP NZ, OSAC, TechWeb, CompterWeekly, TechWorld, InfoWorld, InternetWeek News, InternetWeek Security, ITnews, SearchSecurity, ComputerCops, CMPnetAsia, OnlyNewZ, Mega Security, DESIGNTECHNICA, TLA, zone-h, Frame 4, Wall Street & Technology, TalkRoot, WhatBoysWant, Lorky Heavy Metal Industries, Security Pipeline, Linux Pipeline, Secure Network Operations, HNS,
Security NL, Automatisering Gids, SR.net, ZDNet.NL, clearIT, ZDNet.BE, Manitari.com, Informatica BR, CERT.HU, prog.HU, SG HU, Karpatinfo, nixp.ru, Underground InformatioN Center, InfoBez RU, peko RU, Tradeline RU, codeby RU, compulenta; Chip PL, Security Wortal, FutureWorlds IT, Ironika IT, Computerworld Online IT, TechTown IT, NWI IT Säkerhet&sekretess, Virustorjunta, ITviikko FI, bittivuoto.net, 2ch.net JP, LinuxOnly, Netcenter VN, CNNS.net, AScomputadores,
Trend Micro, AMaViS
ID: ae-200401-020

Anti-Virus-Scanner-Software, egal ob lokal oder als Gateway-Scanner (SMTP oder HTTP) entpacken normalerweise Archive, um auch deren Inhalt zu überprüfen. Gute Entpackungsroutinen können feststellen, daß sich ein Archiv seltsam verhält, z.B. zu viele Dateien beinhaltet oder beim Entpacken zu groß wird. Wenn insbesondere letztes nicht geprüft wird, dann kann es zum Überlaufen des Dateisystems führen. bzip2-Bomben (hier wird eine große Anzahl von gleichen Zeichen gepackt) sind zwar bereits seit längerem bekannt, aber vernünftige Erkennungsmethoden wohl noch nicht überall in die Produkte eingeflossen.
Dadurch kann ein Denial-of-Service erzeugt werden, wenn z.B. eine 1,5 kByte große bzip2-Datei ausgepackt 2 GByte ergibt.
Im Advisory stehen weitere Informationen über einige bekannte Scanner zur Verfügung.

System: Verschiedene
Topic: Schwachstelle im INN 2.4.0
Links: ISC, VU#759020, OpenPKG-SA-2004.001, SUSE 9.0, SSA:2004-014-02, OAR-2004.0073
ID: ae-200401-019

Bei INN handelt es sich um das InterNetNews Package, einem kompletten System für Usenet. Es enthält den innd, einen NNTP-Server, und nnrpd, einem Server für das Lesen von News. In Version 2.4.0 des INN wurde ein Pufferüberlauf in der Behandlung der mit 2.4.0 neu eingeführten Behandlung von Kontrollnachrichten gefunden. Dieser Überlauf scheint auch über das Netz ausnutzbar zu sein und kann dazu führen, dass unberechtigterweise beliebiger Code auf dem Server mit den Rechten des Benutzers, unter dem der innd läuft, ausführbar ist. Die jetzt vorgestellte Version 2.4.1 zeigt diesen Fehler nicht mehr. INN der Versionen 2.3.x oder früher sind von diesem Problem nicht betroffen.

System: Microsoft Windows
Topic: Sicherheitslücke in Cisco Personal Assistant
Links: Cisco, ESB-2004.0023
ID: ae-200401-018

Der Cisco Personal Assistant ist eine Microsoft Windows 2000 basierende Applikation, die Teil der AVVID Lösung ist. Wenn "Allow Only Cisco CallManager Users" aktiviert ist und die "Personal Assistant Corporate Directory" Einstellung auf denselben Verzeichnisdienst verweisen, den auch der Cisco CallManager verwendet, dann wird die Überprüfung des Passworts durch den Personal Assistant deaktiviert. Ein Angreifer kann durch Eingabe einer gültigen User ID und eines beliebigen Passworts Zugriff erlangen. Als Workaround sollte "Allow Only Cisco CallManager Users" unter der "System -> Miscellaneous Settings" Seite der Personal Assistant Administration deaktiviert werden.

System: Conectiva Linux
Topic: Sicherheitslücken in ethereal
Links: CLA-2004:801, OAR-2004:0030
ID: ae-200401-017

In Ethereal, einem Netzwerk-Analysetool, wurde eine Schwachstelle entdeckt. Der SMB Dissektor vor Version 0.10.0 gibt Angreifern die Möglichkeit, durch 'spzezielle' Pakete einen Denial-of-Service durch einen sog. Segmentation Fault zu provozieren. Ein Patch steht jetzt zur Verfügung.

System: Debian GNU/Linux
Topic: Sicherheitslücke in vbox3
Links: DSA-418, ESB-2004.0021
ID: ae-200401-016

Vbox3 ist ein automatischer Anrufbeantworter für isdn4linux, in dem jetzt eine Lücke entdeckt wurde. Diese Lücke beruht darauf, dass die Root-Rechte nicht rechtzeitig vor der Ausführung von benutzerspezifischen TCL-Skripten zurückgegeben werden. So kann ein geschickter lokaler Benutzer auf dem System Root-Rechte erreichen. Um dieses zu vermeiden, ist ein neues Paket herausgegeben worden.

System: HP-UX VVOS
Topic: Sicherheitslücken im Apache Web-Server
Links: SSRT4681, ESB-2004.0021
ID: ae-200401-015

Der Apache Web-Server unterhalb der Version 1.3.29 auf HP9000 Servern 700/800 mit HP-UX 11.04 (VVOS) mit Virtualvault zeigt verschiedene stackbasierte Pufferüberläufe in den Modulen mod_alias und mod_rewrite. Hierdurch ist ein Denial-of-Service sowie das Ausführen beliebigen Codes (auch über das Netzwerk) möglich. Da diese Lücken bereits länger bekannt sind und Web-Server meist auch aus dem Internet heraus erreichbar sind, wird empfohlen, den entsprechenden Patch möglichst zeitnah zu installieren.

System: HP-UX
Topic: Sicherheitslücke in ypxfrd
Links: VU#538033, SSRT2339, O-046, ESB-2004.0020
ID: ae-200401-014

Der 'ypxfrd' Daemon wird für die Verteilung von großen NIS-Maps vom NIS Masterserver zu den NIS Slave Servern eingesetzt. Dieser Daemon überprüft bei bestimmten Parametern nicht, ob Sonderzeichen wie '/' oder'.' enthalten sind. Als Folge kann ein lokaler Angreifer unberechtigterweise jede Datei des Systems lesen, was auch dazu führen kann, dass er Root-Rechte auf dem entsprechenden System erhält. Es wird empfohlen, den entsprechenden Patch, der jetzt zur Verfügung steht, zu installieren.

System: Red Hat Linux 9
Topic: Sicherheitslücken in ethereal
Links: RHSA-2004-001, RHSA-2004-002, CAN-2003-1012, CAN-2003-1013, ESB-2004.0018
ID: ae-200401-013

In Ethereal, einem Netzwerk-Analysetool, wurden zwei Schwachstellen entdeckt. Der SMB Dissektor vor Version 0.10.0 gibt Angreifern die Möglichkeit, durch 'spzezielle' Pakete einen Denial-of-Service durch einen sog. Segmentation Fault zu provozieren. Außerdem zeigt der Q.931 Dissektor auch die Möglichkeit zu einem Denial-of-Service durch die Injektion bösartiger Pakete.
Diese beiden Probleme in Ethereal können jetzt durch einen Patch behoben werden.

System: SGI Advanced Linux Environment
Topic: Sicherheitslücke in lftp
Links: SGI-20040101, RHSA-2003-404, OAR-2004:0029
ID: ae-200401-012

Bei lftp handelt es sich um einen Satz von FTP/HTTP Client-Programmen für die Kommandozeile. Er zeigt einen Pufferüberlauf, die ein Angreifer durch 'spezielle' Verzeichnisse auf einem Server, den der Benutzer besucht, erreichen kann. Wenn der Benutzer die Kommandos 'ls' oder 'rels' ausführt, kann möglicherweise beliebiger Code auf dem Rechner des Benutzers ausgeführt werden. Zur Behebung dieses Problems steht jetzt ein Patch zur Verfügung.

System: Conectiva Linux
Topic: Sicherheitslücke in lftp
Links: CLA-2004:800, OAR-2004:0019
ID: ae-200401-011

Bei lftp handelt es sich um einen Satz von FTP/HTTP Client-Programmen für die Kommandozeile. Er zeigt einen Pufferüberlauf, die ein Angreifer durch 'spezielle' Verzeichnisse auf einem Server, den der Benutzer besucht, erreichen kann. Wenn der Benutzer die Kommandos 'ls' oder 'rels' ausführt, kann möglicherweise beliebiger Code auf dem Rechner des Benutzers ausgeführt werden. Zur Behebung dieses Problems steht jetzt ein Patch zur Verfügung.

System: SuSE Linux
Topic: Sicherheitslücke in pin
Links: SUSE 8.2, SUSE 9.0
ID: ae-200401-010

Durch das Programm pin werden temporäre Dateien auf eine unsichere Art angelegt, was von lokalen Benutzern dazu genutzt werden kann, ihre Rechte zu erhöhen. Ein neues RPM löst dieses Problem.

System: Debian GNU/Linux
Topic: Sicherheitslücken in jabber, zebra und fsp
Links: DSA-414, DSA-415, DSA-416, ESB-2004.0014, ESB-2004.0015, ESB-2004.0016, O-048
ID: ae-200401-009

Jabber ist ein Instant Messaging Server, der eine Lücke zeigt. Durch einen Fehler in der Behandlung von SSL-Verbindungen kann der Server abstürzen, was einem Denial-of-Service entspricht.
Der IP Routing Daemon zebra zeigt zwei Lücken. Durch einen Fehler im CLI für Telnet können Angreifer über das Netzwerk zebra zum Absturz bringen. Ein weiterer Denial-of-Service ist durch die Möglichkeit gegeben, dass Benutzer (und nicht nur der Kernel) netlink-Meldungen schicken können, die akzeptiert werden.
FSP zeigt eine Lücke, durch die Benutzer das Root-Verzeichnis von FSP verlassen können (Directory Transversal) sowie einen festen Puffer zum Überlauf bringen können, so dass beliebiger Code ausführbar ist.
Neue Pakete beheben diese Fehler.

System: Microsoft Windows
Topic: Sicherheitslücke im IIS 5.0
Links: AQ-2003-02, VU#288308
ID: ae-200401-008

Beim HTTP-Protokoll werden laufen Anfragen gestellt und Antworten gesendet. Die Anfragen kommen vom Client (Browser) und sie beginnen immer mit einem speziellen Keyword. Alle dieser Worte sind in den RFCs dokumentiert. Microsoft hat diese Liste von Keywords um die Anfrage TRACK erweitert, der im Prinzip wie die Anfrage TRACE funktioniert. Im Gegensatz zum gut dokumentierten TRACE ist aber TRACK nicht optimal dokumentiert.
Eine HTTP-Anfrage mit TRACK wird vom IIS nicht geloggt. Dies kann kritisch sein, wenn sehr viele solcher Anfragen kommen (viel Datenverkehr). Außerdem werden weitere Informationen vom Server als Antwort übertragen. Aufgrund der Gleichheit von TRACK und TRACE bestehen auch für TRACK die bekannten Angriffe im Bereich Cross-Site-Scripting. Hierdurch kann ein Angreifer Zugriff auf die Rechte des Benutzers des Browsers (z.B. Passworte) sowie auf seine Cookies haben.
Ein Patch steht noch nicht zur Verfügung.

System: Verschiedene Linux
Topic: Sicherheitslücke im Kernel
Links: isec-0012, Symantec, RHSA-2003-416, RHSA-2003-417, RHSA-2003-418, RHSA-2003-419, O-045, ESB-2004.0007, ESB-2004.0008, ESB-2004.0017, ESA-20040105-001, TLSA-2004-1, SuSE-SA:2004:001, SuSE-SA:2004:003, DSA-413, ESB-2004:0013, TSL-2004-0001, TLSA-2004-1, S-04-001, SSA:2004-006-01, DSA-417, ESB-2004.0019, MDKSA-2004:001, DSA-427, ESB-2004.0054
ID: ae-200401-007

Der Linux-Kernel ist für die Basisfunktionen des Betriebssystems zuständig. Durch einen Fehler in der Systemfunktion do_mremap (mremap) können lokale Rechte erweitert werden. Aufgrund einer mangelhaften Bereichsüberprüfung können lokale Benutzer die Arbeit des Kernel einfrieren, außerdem besteht auch ein Pfad, wie dann Root-Rechte auf dem System erreichbar sind. Diese Lücke kann also auch Benutzern, die lediglich über das Netzwerk beschränkte Rechte auf dem System haben, die vollen Administrationsrechte bieten.
Sofern der Hersteller Ihres Systems bereits einen Patch zur Verfügung gestellt hat, sollte dieser möglichst zeitnah eingespielt sein.

System: Engarde Secure Linux
Topic: Verschiedene Sicherheitslücken behoben
Links: ESA-20040105-001, OAR-2004:0005
ID: ae-200401-006

Zwei Sicherheitslücken im EnGarde Secure Linux werden jetzt durch ein Update behoben. Durch ein Speicherleck im Code von LIDS kann es beim Betreiben für sehr lange Zeit dazu kommen, dass die Maschine einfach stehenbleibt. Eine Lücke im Systemaufruf nremap im Kernel kann dazu führen, dass aufgrund ungenügend durchgeführter Bereichsüberprüfungen ein lokaler Benutzer Root-Rechte erhält. Außerdem wurde eine kleinere Lücke im Code von RTC (Real Time Clock) behoben. Hier wurde ein Speicherleck gefunden, das kleine Mengen an Speicher dem Benutzer land überläßt.

System: Debian GNU/Linux
Topic: Sicherheitslücken in screen, BIND, libnids, mpg321 und nd
Links: DSA-408, DSA-409, DSA-410, DSA-411, DSA-412, ESB-2004.0006, ESB-2004.0009, ESB-2004.0010, ESB-2004.0011, O-047
ID: ae-200401-005

Bei Screen handelt es ich um einen Terminal-Multiplexter mit einer VT100/ANSI Terminal-Emulation. Hier besteht eine Lücke, aufgrund der ein Angreifer die Rechte der Gruppe utmp erreichen kann.
BIND, eine Software für das DNS, zeigt sich verwundbar, wenn eine Anfrage an einen 'optimierten' Nameserver erfolgt, bei dem eine negative Angabe mit einer großen TTL (Time-to-Live) erfolgt. Hierdurch scheint (für längere Zeit) die angefragte Domain nicht erreichbar. Um einen solchen Angriff durchzuführen, muß bei dem von einem Angreifer modifizierte Nameserver angefragt werden.
Eine Bibliothek, die für die Analyse von IP Netzwerkverkehr eingesetzt wird, ist libnids. Durch spezielle TCP-Datagramme, die von einem Angreifer über das Netzwerk geschickt werden, kann ein Speicherfehler auftreten und möglicherweise auch Code mit den Rechten des Programms, das diese Bibliothek nutzt (z.B. dsniff), ausgeführt werden.
Ein kommandozeilenorientierter MP3-Player ist mpg321. Von Benutzern übergebene Strings werden nur ungenügend überprüft an die Funktion printf gegeben. Hierdurch kann von einem Angreifer Speicher überschrieben und möglicherweise auch beliebiger Code ausgeführt werden. Damit diese Lücke ausgenutzt ausnutzbar ist, muss mpg321 eine vom Angreifer präparierte MP3-Datei über HTTP-Streaming aufrufen.
Verschiedene Sicherheitslücken wurden in nd, einem WebDAV-Interface für die Kommandozeile, gefunden. Lange Strings, die von einem Server empfangen werden, können für einen Überlauf der Puffer, die eine feste Länge vorgegeben haben, führen. Hierdurch kann ein Angreifer, der die Kontrolle über einen WebDAV-Server hat, beliebigen Code auf dem abrufenden Server mit der verwundbaren Version von nd ausführen lassen.
Es wird empfohlen, die verbesserten Pakete herunterzuladen und zu installieren.

System: Cisco
Topic: Sicherheitslücke in der Transparent Cache Engine und Content Engine
Links: Cisco, ESB-2004.0004
ID: ae-200401-004

Die Cisco Cache Engines und Content Engines bieten einen transparenten Cache für Seiten des World Wide Web, die mittels HTTP übertragen werden. Die genannten Produkte können so konfiguriert werden, dass auch für andere Protokolle wie z.B. HTTPS die Anfragen an Proxy-Server stellvertretend übernommen werden. Die Default-Konfiguration dieser Option kann dazu missbraucht werden, zu jedem beliebigen Ziel eine TCP-Verbindung aufzubauen, wobei die eigenen IP-Adresse durch die des Cisco versteckt wird. Das bietet die Möglichkeit zu verschiedenen, meist ungewünschten Aktivitäten wie z.B. dem Versand von Spam (E-Mail), unautorisiertes Scannen oder Denial-of-Service Angriffe. Die Lücke im HTTP Proxy kann durch eine überarbeitete Version behoben, für den HTTPS Proxy sollte die Konfiguration des betroffenen Gerätes verbessert werden. Die jetzt veröffentlichten Versionen zeigen auch eine verbesserte Default-Konfiguration.

System: Red Hat Linux
Topic: Sicherheitslücken im Kernel
Links: RHSA-2003-417, RHSA-2003-418, RHSA-2003-419, RHSA-2003-416, O-045, ESB-2004.0007, ESB-2004.0008
ID: ae-200401-003

Der Linux-Kernel ist für die Basisfunktionen des Betriebssystems zuständig. Durch eine Lücke in der Funktion mremap bei Kernels der Version 2.4.23 und niedriger besteht die Gefahr, dass lokale Benutzer Root-Rechte auf dem System erhalten. Durch neue Pakete kann diese Lücke geschlossen werden. Außerdem ist in den neuen Paketen für Red Hat Linux 7.1 bis 9 eine Verbesserung der rtc-Routinen (Real Time Clock) enthalten.

System: Debian GNU/Linux
Topic: Sicherheitslücken in lftp und ethereal
Links: DSA-406, DSA-407, ESB-2004.0003, ESB-2004.0005
ID: ae-200401-002

Bei lftp handelt es sich um einen Satz von FTP/HTTP Client-Programmen für die Kommandozeile. Er zeigt einen Pufferüberlauf, die ein Angreifer durch 'spezielle' Verzeichnisse auf einem Server, den der Benutzer besucht, erreichen kann. Wenn der Benutzer die Kommandos 'ls' oder 'rels' ausführt, kann möglicherweise beliebiger Code auf dem Rechner des Benutzers ausgeführt werden.
Ethereal ist ein mächtiges Werkzeug für die Analyse von Netzwerkverkehr, das allerdings verschiedene Sicherheitslücken zeigt. Durch falsche Strings 'GTP MISSION' kann ein Denial-of-Service erreicht und möglicherweise auch beliebiger Code auf dem System ausgeführt werden. Ähnliches ist über einen Heap-Überlauf möglich. Außerdem besteht das Risiko eines Denial-of-Service aufgrund falscher ISAKMP- oder MEGACO-Pakete sowie wegen Fehlern in den Dissektoren für SMB und Q.931.
Die genannten Lücken können jetzt durch die Installation eines Patches behoben werden.

System: Verschiedene
Topic: Sicherheitsrisiko im Concurrent Versions System (CVS)
Links: CVS#88, CVS#89, ESB-2004.0002, RHSA-2004-003, O-049
ID: ae-200401-001

CVS ist das Concurrent Versions System, ein Open-Source Projekt für die Versionskontrolle. Es kann sowohl für einzelne Entwickler als auch für große Teams eingesetzt werden. Aufgrund eines Sicherheitsproblems wurden jetzt die Versionen Stable CVS 1.11.11 und Feature CVS 1.12.5 herausgegeben. Hierdurch wird beim CVS Server verhindert, dass er nach der Anmeldung eines Benutzers als Root weiterläuft. Außerdem bestand eine Schwachstelle für die Datei CVSROOT/passwd: Jeder Bneutzer mit der Möglichkeit, schreibend auf diese Datei zuzugreifen, konnte als Root beliebigen Code auf dem Server ausführen, sofern Root den sog. 'CVS pserver access' aktiviert hat. Es wird empfohlen, nur noch die aktuelle Version einzusetzen.



(c) 2000-2014 AERAsec Network Services and Security GmbH