Zum Hauptinhalt Zur Navigation

Sicherheitslücken in CVS, Subversion und libneon

Angreifer können durch Fehler beliebigen Code ausführen. Der Sicherheitsexperte Stefan Esser weist auf zum Teil kritische Sicherheitslücken im Concurrent Versions System (CVS), Subversion und der Bibliothek libneon hin. Durch diese ist es Angreifern mitunter möglich, beliebigen Code auszuführen.
/ Jens Ihlenfeld
Kommentare News folgen (öffnet im neuen Fenster)

Die Sicherheitslücke in CVS soll in stabilen Versionen bis einschließlich 1.11.15 und in Feature-Releases bis einschließlich 1.12.7 enthalten sein und es Angreifern erlauben, beliebigen Code auszuführen und so auch die Code-Repositories zu verändern. Nutzern von CVS wird daher ein Update auf eine aktuelle Version empfohlen.

Auch im möglichen CVS-Nachfolger Subversion bis einschließlich Version 1.0.2 entdeckte Esser eine Sicherheitslücke, die das Ausführen von beliebigem Code erlaubt. Schuld ist hier ein unsicherer Aufruf innerhalb der Datumsprüfung von Subversion. Da es sehr einfach sei, die entsprechende Sicherheitslücke auszunutzen, rät Esser dringend zu einem Update auf eine aktuelle Version.

In der Bibliothek libneon fand Esser einen ähnlichen Fehler. Die Bibliothek wird vor allem von OpenOffice und Subversion verwendet, die beide aber die fehlerhafte Funktion nicht nutzen und daher nicht verwundbar sind. Dennoch sollte die Bibliothek aktualisiert werden, da möglicherweise andere Anwendungen diese Funktion trotzdem verwenden könnten und damit verwundbar wären.


Relevante Themen