Sicherheitslücken in KDE

Patches für drei Sicherheitslücken veröffentlicht

Das KDE-Team warnt vor drei Sicherheitslücken, die in den letzten Wochen und Tagen bekannt wurden. Diese erlauben es lokalen Angreifen, KDE lahm zu legen, in fremde User-Accounts einzudringen oder ermöglichen Phishing-Attacken.

Artikel veröffentlicht am 12. August 2004, 9:30 Uhr, Jens Ihlenfeld

In einigen Fällen sei die Integrität von Symlinks, die von KDE genutzt werden, nicht gewährleistet, die Symlinks können so auf veraltete Ziele zeigen. Dies könnte von einem lokalen Angreifer genutzt werden, um die korrekte Funktion von KDE zu beeinträchtigen. Entsprechende Patches stehen bereit und sollten demnächst in die Binärpakete von Herstellern integriert werden. Betroffen sind alle Versionen bis einschließlich KDE 3.2.3.

Zudem wurde das KDE-Team darauf hingewiesen, dass der KDE-DCOP-Server temporäre Dateien in unsicherer Form erzeugt. Da diese Dateien zum Teil auch zur Authentifizierung genutzt werden, könnte ein Angreifer so in den Account eines anderen Nutzers eindringen. Betroffen von diesem Problem ist KDE 3.2.x bis einschließlich KDE 3.2.3, Patches stehen bereit.

Das dritte Problem betrifft den Web-Browser Konqueror, der es erlaubt, Webseiten in Frames von jeder Frame-basierten Webseite zu laden, die der User geöffnet hat, was Phishing-Atacken ermöglicht. Auch hier stehen entsprechende Patches für KDE 3.0.5b, KDE 3.1.5 und KDE 3.2.3 bereit.