Abo
  • Services:
Anzeige

Hintertür in Open-Xchange

Vordefinierter Nutzer ermöglicht Angreifern Zugang

Ein vordefinierter Benutzer-Account beim Einsatz der freien Version von Open-Xchange mit LDAP kann Angreifern Zugriff auf das System erlauben. Da nicht explizit auf diesen Benutzer hingewiesen wird, können Administratoren ihn leicht übersehen, so dass die Hintertür nicht geschlossen wird.

Die als Fehler gemeldete Sicherheitslücke befindet sich in der Initdatei, die verwendet wird, um die freie Variante der Groupware Open-Xchange an einen LDAP-Server anzubinden. Darin ist der Nutzer "Mailadmin" vordefiniert, der sich mit einem Standardpasswort anmelden kann, das in der betroffenen Datei im Klartext steht. Da zusätzlich /bin/bash als Shell eingetragen ist, erhält ein Angreifer über diesen Account tatsächlich Zugang zu betroffenen Systemen.

Anzeige

Laut des Fehlerberichts kann sich ein Angreifer so zumindest auf einem angebundenen Cyrus-IMAP-Server anmelden. Sofern Open-Xchange mit LDAP zur Benutzerauthentifizierung über die unter Unix-Systemen verwendeten Pluggable Authentication Modules (PAM) zum Einsatz kommt, ist auch die Anmeldung an einer Shell möglich. Außerdem hat der Nutzer Mailadmin Zugriff auf die Groupware, wenngleich hier keine Knöpfe angezeigt werden.

Ob der Nutzer in zukünftigen Versionen entfernt wird, ist nicht bekannt, daher sollten Administratoren das Passwort des Nutzers ändern oder seine Login-Shell auf /bin/false setzen.

Wie Open-Xchange-Entwicklungsleiter Martin Kauss gegenüber Golem.de mitteilte, ist der Nutzer Mailadmin dafür gedacht, dass neue Nutzer ein Postfach auf dem IMAP-Server bekommen und neue Ordner angelegt werden können. Einige Administrations-Frontends nutzen demnach den Nutzer Mailadmin auch zur Anmeldung. Die Entwickler würden jedoch bereits daran arbeiten, dieses Prinzip zu ändern, so Kauss weiter.

Dabei ist das Problem gar nicht so neu: Während es in vielen Anleitungen nicht erwähnt wird, weisen einige darauf hin, dass eine Standardinstallation nur für eine Testumgebung geeignet ist. Antworten auf den Fehlerbericht erklären auch bereits, wie man das Passwort durch ein verschlüsseltes ersetzen kann. Die kommerzielle Open-Xchange-Variante weist jedoch ausdrücklich auf das Vorhandensein des Nutzers hin und fordert den Administrator auf, das Passwort zu ändern.


eye home zur Startseite
Abraxas 19. Mai 2006

hi, während beim open... die quelltexte offenliegen und jeder reigucken kann und jeder...



Anzeige

Stellenmarkt
  1. über Ratbacher GmbH, Raum Minden (Home-Office möglich)
  2. Fresenius Netcare GmbH, Bad Homburg
  3. Vodafone Kabel Deutschland GmbH, Berlin
  4. ADG Apotheken-Dienstleistungsgesellschaft mbH, Mannheim


Anzeige
Top-Angebote
  1. 5,00€ inkl. Versand über Saturn
  2. 5,00€ inkl. Versand über Saturn
  3. 329,00€

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Kritische Bereiche der IT-Sicherheit in Unternehmen
  3. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes


  1. Wayland

    Google erstellt Gamepad-Support für Android in Chrome OS

  2. Gabe Newell

    Valve-Chef über neue Spiele und Filme

  3. 5G

    Verizon soll versuchen, Comcast oder Charter zu kaufen

  4. DRAM und Flash

    Toshiba könnte sein Speichergeschäft an WD verkaufen

  5. Satellitennavigation

    Galileo gehen die Uhren aus

  6. Shield TV (2017) im Test

    Nvidias sonderbare Neuauflage

  7. Zenimax

    Mark Zuckerberg verteidigt Macher von VR-Brille bei Gericht

  8. Statt Begnadigung

    Snowdens Aufenthalt in Russland verlängert

  9. FAA

    Drohnenbetreiber muss 200.000 US-Dollar Geldstrafe zahlen

  10. Breath of the Wild

    Zelda bietet auf Switch bessere Auflösung und Sounds



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Taps im Test: Aufsatz versagt bei den meisten Fingerabdrucksensoren
Taps im Test
Aufsatz versagt bei den meisten Fingerabdrucksensoren
  1. Glas Der Wunderwerkstoff
  2. Smartphone-Prognosen Das Scheitern der Marktforscher
  3. Studie Smartphones und Tablets können den Körper belasten

Bundestagswahl 2017: Verschont uns mit Digitalisierungs-Blabla 4.0!
Bundestagswahl 2017
Verschont uns mit Digitalisierungs-Blabla 4.0!
  1. Verfassungsbeschwerde Journalisten klagen gegen Datenhehlerei-Paragrafen
  2. Bundestagswahlkampf 2017 Die große Angst vor dem Internet
  3. Digitale Agenda Verkehrsminister Dobrindt fordert Digitalministerium

Macbook Pro 13 mit Touch Bar im Test: Schöne Enttäuschung!
Macbook Pro 13 mit Touch Bar im Test
Schöne Enttäuschung!
  1. Schwankende Laufzeiten Warentester ändern Akku-Bewertung des Macbook Pro
  2. Consumer Reports Safari-Bug verursachte schwankende Macbook-Pro-Laufzeiten
  3. Notebook Apple will Akkuprobleme beim Macbook Pro nochmal untersuchen

  1. Re: Sabotage

    jsm | 15:09

  2. Re: nur 8GB speicher nicht direkt erweiterbar bei...

    motzerator | 15:09

  3. Re: Unterstützen

    timo.w.strauss | 15:09

  4. Re: Casey Neistat hat das laufend gemacht..

    TinTin | 15:09

  5. Re: Die Obama-Enttäuschung

    sfe (Golem.de) | 15:07


  1. 14:15

  2. 13:48

  3. 13:01

  4. 12:46

  5. 12:31

  6. 12:10

  7. 11:54

  8. 11:36


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel