Kritische Sicherheitslücke in CVS

Angreifer können unter Umständen Root-Rechte erlangen

Eine kritische Sicherheitslücke im Concurrent Versions System (CVS) hat Stefan Esser von der Firma e-matters entdeckt. CVS wird in der Softwareentwicklung zur Verwaltung von Quelltexten eingesetzt und ist insbesondere im Open-Source-Umfeld das dominierende System. CVS bis zur Version 1.11.4 erlaubt es Angreifern unter Umständen eigenen Code auf einem entsprechenden Server auszuführen.

Betroffen von der Sicherheitslücke, die an einer fehlerhaften Behandlung von Verzeichnis-Requests liegt, sind Linux-, Solaris-, BSD- und, so Esser, mit größter Wahrscheinlichkeit auch Windows-Systeme. Ihm gelang es, ein entsprechendes Programm zu schreiben, das unter Ausnutzung der Sicherheitslücke Shell-Kommandos auf einem BSD-Server ausführt. Dieses wird e-matters allerdings nicht veröffentlichen.

Wie schwerwiegend die Sicherheitslücke ist, hängt allerdings von der Konfiguration des Servers ab, unter Umständen lassen sich Root-Rechte auf einem so angreifbaren Server erlangen. Besonders kritisch ist dieses Problem für Open-Source-Projekte, da diese oft einen anonymen CVS-Zugriff erlauben.

Allerdings existiert mittlerweile eine fehlerbereinigte CVS-Version, die unter ccvs.cvshome.org/servlets/ProjectDownloadList heruntergeladen werden kann. Betreiber großer CVS-Server wurden vorab über die Problematik informiert.