Sicherheitslücken

McAfee Lücken: Das Verhängnis vom root-User

Durch das ersetzen eines Request-Parameters konnte man eine RCE auslösen.

Durch das ersetzen eines Request-Parameters konnte man eine RCE auslösen.

Wer mit root-Rechten (also als Administrator) in Windows arbeitet wird sicher schon einmal eine Fehlermeldung nach dem Motto „Bitte kontaktieren sie Ihren Systemadministrator“ bekommen. Blöd, wenn man selbst der Systemadministrator ist.
Wäre es da nicht schön einfach alle Rechte auf einem System zu haben oder sie gegebenenfalls temporär erteilt zu bekommen? Sicherlich, doch birgt das auch immense Sicherheitsrisiken, wie die Entdeckung mehrerer Sicherheitslücken in dem McAfee Virus-Scanner für Linux zeigte.

Diverse Sicherheitslücken in McAfee für Linux

Der Virus-Scanner von McAfee ist auch für Linux erhältlich und muss natürlich als Benutzer mit root-Rechten installiert und ausgeführt werden.

Einmal installiert, kann die gehackte Software dann Code ebenfalls mit root-Rechten ausführen, was natürlich eine sehr große Gefahr für das System ist. Im Gegensatz zu Windows Systemen kann der root-User bei Linux wirklich alles – nur nicht sich selbst löschen 😉

Andrew Fasano fand nun zehn Sicherheitslücken, mit deren Hilfe man Code als root-User ausführen kann:

(mehr …)

Linux Mint hack und glibc-Lücke

Linux Mint setzt mehr auf Stabilität als auf Sicherheit, das wird häufig kritisiert.

Linux Mint setzt mehr auf Stabilität als auf Sicherheit, das wird häufig kritisiert.

In den Letzten Tagen war ja mal bei Linux Mint und bei den C Entwicklern ordentlich was los. Zum einen wurde der Server von Linux Mint gehackt, wodurch eine veränderte ISO zum Download bereit stand, und zum anderen gab es eine recht schwerwiegende Lücke in der C Bibliothek glibc.

Im Zuge des Hacks und der Sicherheitslücke in der glibc stellt sich dabei die Frage ob die Distribution Linux Mint, welche mittlerweile die beliebteste ist, wirklich die beste ist.

Linux Mint hack

Am 20.2. wurde der Server von Linux Mint, auf dem die ISO Dateien von Mint 17.3 liegen, gehackt und die ISOs durch mit einer Backdoor versehenen ersetzt. Der Fehler wurde jedoch schnell bemerkt und behoben, sodass schon am selben Tag die richtigen ISOs wieder online waren. Wer von mirror-Servern geladen hat ist eventuell(!) nicht betroffen, da die Spiegelung nicht in Echtzeit geschieht. Trotzdem sollte man überprüfen ob die ISO korrekt ist (s.u.).

Auch das Forum war betroffen, so sollen Nutzer des Linux Mint Forums schnellstmöglich das Passwort ändern, da der Angreifer eine Kopie der Datenbank erbeutet hat. Derzeit (Veröffentlichung des Posts) ist dieses nicht erreichbar, was mit dem Angriff zusammenhängt.

Das Mint-Team hat dabei schnell Blog-posts veröffentlicht und die Nutzer gewarnt und informiert, diese Transparenz sieht man nicht immer und sollte trotz aller Kritik gelobt werden.

ISOs auf Echtheit überprüfen

(mehr …)

Die Sicherheit von Go (aka golang)

Wie sicher ist Go?

Go ist eine sehr schöne Sprache, doch wie sicher ist sie für z.B. Web-Anwendungen?
Hier das Maskottchen von Go, der Gopher.

Go (oder auch golang) ist eine seit 2009 entwickelte und seit 2012 als stabil verfügbare Programmiersprache. Sie ist natürlich open-source und wird von einem kleinen Google Team betreut, wobei sich mehr und mehr eine Community bildet.
Die Sprache selbst ist eine imperative und objektorientierte Sprache, welche das Prinzip der Nebenläufigkeit direkt und unkompliziert zur Verfügung stellt. Sie wurde entwickelt, da Robert Griesemer, Rob Pike und Ken Thompson (die Initiatoren des Projektes) bisher vorhandene Sprachen für die Entwicklung von u.A. Cluster- oder Cloud-Computing Software für ungeeignet erachten. Golang soll dort einiges besser und einfacher machen.

Und jetzt?

Klingt ja erst mal ziemlich nice, dass eine Sprache Nebenläufigkeit einfach so out-of-the-box mitbringt. Auch, dass es eine sehr performante open-source Sprache ist (nicht nur wegen der Nebenläufigkeit), spricht nicht gerade gegen Go.

Doch wie sieht es da bezüglich der Nebenläufigkeit und dem bevorzugten Einsatzgebiet der Web basierten Software eigentlich in Hinsicht auf die IT-Sicherheit aus?

Eine enzige Bekannte Sicherheitslücke

(mehr …)

Alle Android Geräte von Stagefright betroffen … erneut

In Androids Stagefright Mediensystem befinden sich zwei Sicherheitslücken.

Erneut kamen zwei schwerwiegende Sicherheitslücken in Androids Mediensystem Stagefright zum Vorschein.

Wie ich bereits ziemlich genau vor zwei Monaten berichtet habe, wurde Android von der Sicherheitslücke im Mediensystem Stagefright geplagt. Dies hat sich diesen Monat wiederholt denn schon wieder ist Stagefright von Sicherheitslücken betroffen – und dabei haben die meisten Geräte zusätzlich noch die alten Lücken.

Theoretisch sind alle Geräte, die ab 2008 (Android 1.0 Release) gekauft wurden betroffen. Praktisch sind jedoch einige Android Geräte durch vorherige Updates der Hersteller abgesichert.

Lücke in Stagefright und libutils

Wieder handelt es sich um Lücken im Mediensystem Stagefright und wieder kann man durch veränderte MP3 / MP4 Dateien Code auf dem Smartphone ausführen (sog. Remote-Code-Execution).

Die zwei gefundenen Lücken liegen in den Bibliotheken libutils und libstagefright von Android. Obwohl die Lücken an unterschiedlichen Stellen sind, können sie mit dem selben Trick benutzt werden und ermöglichen auch beide eine RCE (Remote-Code-Execution).

Durch das angucken an sich wird die Lücke nicht ausgenutzt, gefährlich ist jedoch die Verarbeitung der Metadaten (z.B. Datum, Größe, Auflösung, Länge, etc.) vor dem abspielen der Datei. Diese findet in eben den Bibliotheken libstagefright, bzw. libutils statt.

Wer ist betroffen?

(mehr …)

Internet Explorer: Notfallupdate gegen RCE-Lücke

Im Internet Explorer klafft eine gefährliche Lücke.

Der Browser aus den 90ern bekommt zwar noch Updates, sollte jedoch schon längst abgelöst worden sein!
Quelle: Wikipedia

Microsoft schließt eine vom Google Mitarbeiter Clement Lecigne gemeldete Sicherheitslücke im Internet Explorer, die eine Remote-Code-Execution erlaubt (also das ausführen von fremdem Code auf dem eigenen Rechner).

Das Update wurde gestern veröffentlicht und ist somit außer der Reihe erschienen (normaler Patchday war am 11.8.), was unüblich ist und dem Update einen hohen Stellenwert einräumt.
Man sollte es daher zeitnah installieren.

Wer ist betroffen?

(mehr …)