Abo
  • Services:
Anzeige
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit.
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit. (Bild: Tnftp - Screenshot: Golem.de)

Codeausführung: FTP-Client-Lücke in BSDs, Mac OS X und Linux-Distributionen

Eine Sicherheitslücke in dem FTP-Client von NetBSD erlaubt mit einem angepassten Server das Ausführen von Code auf dem Rechner. Betroffen davon sind wohl verschiedene BSD-Derivate, Mac OS X sowie Linux-Distributionen. Ein Patch steht bereit.

Anzeige

Die NetBSD-Entwickler haben eine Sicherheitslücke in ihrem FTP-Client gefunden, die es erlaubt, Code auf dem Rechner des Anwenders auszuführen. Dazu muss das Programm ohne die Angabe einer Ausgabedatei ausgeführt werden, um eine Datei über eine HTTP-Verbindung herunterzuladen. Die Lücke hat die CVD-ID 2014-8517 bekommen, deren Inhalt allerdings derzeit noch nicht bei Mitre gelistet ist.

Der FTP-Client folgt HTTP-Redirects und untersucht bei der beschriebenen Vorgehensweise den Teil einer URL nach dem letzten /-Zeichen, um diesen zu dem gewünschten Dateinamen aufzulösen. Beginnt dieser so erhaltene Name allerdings mit einem |-Zeichen wird die nachfolgende Zeichenkette an popen weitergegeben, sodass vorbereitete Befehle ausgeführt werden. In einem Beispiel demonstrieren die Entwickler dies mit dem Befehl uname -a, das unter anderem Details zum benutzten Betriebssystem und Kernel ausgibt. Das OpenBSD-Projekt hat ein derartiges Verhalten eigenen Aussagen zufolge bereits vor einiger Zeit unterbunden.

Eine Portierung der betroffenen Anwendung, die Tnftp heißt, wird in vielen verschiedenen BSD-Derivaten, etwa FreeBSD oder auch in Apples Mac OS X verwendet. Die NetBSD-Entwickler schreiben, sie hätten das Unternehmen über die Lücke informiert, die zumindest in der aktuellen Version 10.10 alias Yosemite bestehe. Darüber hinaus setzen viele Linux-Distributionen Tnftp ebenfalls ein oder bieten ihren Anwendern dieses als Paket an. Diese schätzen den Grad der Bedrohung durch den Fehler jedoch sehr unterschiedlich ein.

So stuft das Debian-Projekt die Lücke als kleineres Problem mit geringer Dringlichkeit ein, Red Hat hingegen hält die Lücke für moderat und Suse gar für bedeutend. Das NetBSD-Team hat den Fehler bereits behoben und stellt einen Patch für den Quellcode bereit.


eye home zur Startseite
BRDiger 30. Okt 2014

Kein Ding ;)

tbxi 30. Okt 2014

Jaaajaa, genau wie wget und curl.

bstea 29. Okt 2014

Das Binary heißt ftp, das Projekt heißt tnftp. In der Regel sieht man das bei Skripten...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Stuttgart-Feuerbach
  2. ifb KG, Seehausen am Staffelsee
  3. DRÄXLMAIER Group, Garching bei München
  4. DRÄXLMAIER Group, Vilsbiburg bei Landshut


Anzeige
Blu-ray-Angebote
  1. 18,00€ (ohne Prime bzw. unter 29€-Einkaufswert zzgl. 3€ Versand)
  2. (u. a. Der Hobbit 3 für 9,99€ u. Predator für 12,49€)
  3. (u. a. Die Unfassbaren, Ghostbusters I & II, Jurassic World, Fast & Furious 7 Extended Version)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation
  2. Mit digitalen Workflows Geschäftsprozesse agiler machen
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Bezahlinhalte

    Bild fordert Obergrenze für Focus Online

  2. Free-to-Play

    Forum von Clash-of-Clans-Betreiber gehackt

  3. Project CSX

    ZTEs Community-Smartphone kommt nicht gut an

  4. Berliner Nahverkehr

    Alle U-Bahnhöfe bekommen WLAN-Versorgung

  5. Vorstand

    Deutsche Telekom arbeitet an vielen Glasfaser-Kooperationen

  6. Festplatten

    Seagate schließt HDD-Werk und entlässt Tausende

  7. Neue Bedienungssysteme im Auto

    Es kribbelt in den Fingern

  8. Verkehr

    China investiert weiter in Hochgeschwindigkeitszüge

  9. 2016

    Bundesnetzagentur sperrt fast eine Million Elektrogeräte

  10. Sopine A64

    Weiterer Bastelrechner im Speicherriegel-Format erscheint



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Reverse Engineering: Mehr Spaß mit Amazons Dash-Button
Reverse Engineering
Mehr Spaß mit Amazons Dash-Button

Glasfaser: Nun hängt die Kabel doch endlich auf!
Glasfaser
Nun hängt die Kabel doch endlich auf!
  1. Fake News Für Facebook wird es hässlich
  2. Nach Angriff auf Telekom Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  3. Soziales Netzwerk Facebook wird auch Instagram kaputt machen

Western Digital Pidrive im Test: Festplatte am Raspberry Pi leicht gemacht
Western Digital Pidrive im Test
Festplatte am Raspberry Pi leicht gemacht
  1. Raspberry Pi Compute Module 3 ist verfügbar
  2. Audio Injector Octo Raspberry Pi spielt Surround-Sound
  3. Raspberry Pi Pixel-Desktop erscheint auch für große Rechner

  1. Re: YAy! Dann kann man wenigstens im Internet...

    Keks2 | 15:49

  2. Re: nicht eher O2?

    masel99 | 15:47

  3. Re: Mit einem solchen Programm hat der Staat die...

    Magroll | 15:46

  4. Re: Falsche Zielgruppe?

    t3st3rst3st | 15:45

  5. Der Mann verfolgt den grundlegend falschen Ansatz

    Sharra | 15:45


  1. 16:07

  2. 15:52

  3. 14:36

  4. 14:30

  5. 13:10

  6. 12:30

  7. 12:01

  8. 11:53


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel