Abo
  • Services:

Sicherheit

Fehler in Gnu Libc legt FTP-Server lahm

Angreifer können über einen Fehler in der Funktion Glob() in der C-Bibliothek Gnu Libc aus der Ferne FTP-Server lahmlegen. Der Fehler führt bei der Verarbeitung bestimmter Wildcard-Muster unter Umständen dazu, dass sich der Hauptspeicher unkontrolliert füllt und damit den Server verlangsamt oder abstürzen lässt.

Artikel veröffentlicht am , Alexander Syska

Die meisten FTP-Server unterstützen Globbing, etwa beim Suchbefehl Stat. Globbing bezeichnet das Suchen mit Platzhaltern, was dazu dient, beispielsweise nach allen Dateien mit der Endung .txt zu fahnden. Normalerweise begrenzt die Funktion GLOB_LIMIT den dafür zugewiesenen Speicher. Die Funktion greift jedoch nicht, wenn der Angreifer mehrere Verzeichnisse über Platzhalter angibt und nach einer nicht existierenden Datei sucht. Durch die manipulierte Suchanfrage kann der Hauptspeicher des Servers volllaufen und den Server schließlich zum Absturz bringen. FTP-Server, die anonyme Zugänge bieten, sind besonders gefährdet. Auch SFTP-Zugänge sind von dem Problem betroffen.

Stellenmarkt
  1. Interhyp Gruppe, München
  2. Lachmann & Rink GmbH, Freudenberg und Dortmund

Einige FTP-Programme bieten selbst die Option, das Globbing ein- oder auszuschalten. Die meisten jedoch greifen auf die Funktion über die Systembibliothek Gnu Libc zu, die entsprechend gepatcht werden muss.

Der Entdecker der DoS-Schwachstelle, Maksymilian Arciemowicz, gibt in seinem Dokument an, dass OpenBSD, NetBSD, FreeBSD, Oracle Sun Solaris 10 und die GNU Libc die Schwachstelle enthalten. Betroffen sind demnach auch die FTP-Server von Adobe, HP und Sun. Oracle hat die betroffene Solaris-Version mittlerweile repariert. Für OpenBSD und NetBSD liegen ebenfalls Patches bereit. Von anderen Distributionen, etwa Linux, gibt es noch keine Hinweise dazu, ob sie betroffen sind oder ob Patches bereitstehen.

Arciemowicz hatte die Schwachstelle bereits im November 2009 entdeckt, veröffentlichte sie aber erst jetzt - samt Exploit zu Demonstrationszwecken.



Anzeige
Top-Angebote
  1. (aktuell u. a. Corsair CX750 für 64,90€ + Versand)
  2. 9,99€ (mtl., monatlich kündbar)
  3. 229,99€
  4. ab 19,99€

Der Shell-User 09. Okt 2010

Ich benutze das ganz gerne in der Shell, wenn ich weiss, dass eine bestimmte Datei...


Folgen Sie uns
       


Anno 1800 - Fazit

Die wunderbare Welt von Anno 1800 schickt Spieler auf Inseln, auf denen sie nach und nach ein riesiges Imperium aufbauen können.

Anno 1800 - Fazit Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck

  1. Urheberrecht Axel-Springer-Verlag klagt erneut gegen Adblocker
  2. Whitelisting erlaubt Kartellamt hält Adblocker-Nutzung für "nachvollziehbar"
  3. Firefox Klar Mozilla testet offenbar Adblocker

Days Gone angespielt: Zombies, Bikes und die Sache mit der Benzinpumpe
Days Gone angespielt
Zombies, Bikes und die Sache mit der Benzinpumpe

Mit dem nettesten Biker seit Full Throttle: Das Actionspiel Days Gone schickt uns auf der PS4 ins ebenso große wie offene Abenteuer. Trotz brutaler Elemente ist die Atmosphäre erstaunlich positiv - beim Ausprobieren wären wir am liebsten in der Welt geblieben.
Von Peter Steinlechner


    Elektromobilität: Was hat ein Kanu mit Autos zu tun?
    Elektromobilität
    Was hat ein Kanu mit Autos zu tun?

    Veteranen der deutschen Autoindustrie wollen mit Canoo den Fahrzeugbau und den Vertrieb revolutionieren. Zunächst scheitern die großen Köpfe aber an den kleinen Hürden der Startupwelt.
    Ein Bericht von Dirk Kunde

    1. EU Unfall-Fahrtenschreiber in Autos ab 2022 Pflicht
    2. Verkehrssenatorin Fahrverbot für Autos in Berlin gefordert
    3. Ventomobil Mit dem Windrad auf Rekordjagd

      •  /