10.01.2007 10:43
Alert! Codeschmuggel in MIT-Kerberos möglich
Das MIT hat mehrere kritische Lücken in seiner Implementierung der Netzwerkauthentifizierungslösung Kerberos v5 gemeldet, mit der ein Angreifer den Kerberos-Server unter seine Kontrolle bringen kann und Zugriff auf die Key Database erhält. Unter Umständen ist so der Zugriff auf weitere Systeme möglich. Zudem ließe sich die Authentifizierung aller Systeme stören, die Kerberos nutzen. In der Folge wäre ein Log-in nicht mehr möglich.
Die gefundenen Fehler stecken im Administrations-Daemon kadmind und beruhen auf Fehlern in der Kommunikation über RPC sowie der GSS-API (Generic Security Services). Ein Angreifer könnte kadmind über präparierte Aufrufe dazu bringen, Schadcode in den Speicher zu schreiben und auszuführen. Laut Fehlerbericht ist dazu keine vorherige Authentifizierung erforderlich.
Betroffen sind kadmind in krb5-1.4 bis krb5-1.4.4, krb5-1.5 bis krb5-1.5.1 sowie alle Produkte anderer Hersteller, die die RPC-Bibliothek und die GSS-API aus diesen Versionen benutzen. Versionen vor krb5-1.4 sind nicht verwundbar. Patches für RPC und für die GSS-API stehen im Quellcode zur Verfügung, in Kürze soll Version 1.5.2 erscheinen, wo die Lücke behoben ist.
Sun ist einer der Hersteller, die eine verwundbare GSS-API unter Solaris 8, 9 und 10 mitliefern. In einem vorläufigen Fehlerbericht weist der Hersteller darauf hin, dass keine Komponente unter Solaris die GSS-API benutzt, selbst der kadmind nicht. Es sei aber nicht auszuschhließen, dass andere Produkte gegen die Bibliothek linken. Wann Sun einen Patch herausgeben will, ist nicht bekannt.
Siehe dazu auch:
- kadmind (via RPC library) calls uninitialized function pointer, Fehlerbericht vom MIT
- kadmind (via GSS-API mechglue) frees uninitialized pointers, Fehlerbericht vom MIT
- Third-party Applications Using GSS-API May Be Vulnerable to Compromise, Fehlerbericht von Sun
(dab)
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen. 
