Sicherheit

Fehler in Gnu Libc legt FTP-Server lahm

Angreifer können über einen Fehler in der Funktion Glob() in der C-Bibliothek Gnu Libc aus der Ferne FTP-Server lahmlegen. Der Fehler führt bei der Verarbeitung bestimmter Wildcard-Muster unter Umständen dazu, dass sich der Hauptspeicher unkontrolliert füllt und damit den Server verlangsamt oder abstürzen lässt.

Artikel veröffentlicht am , Alexander Syska

Die meisten FTP-Server unterstützen Globbing, etwa beim Suchbefehl Stat. Globbing bezeichnet das Suchen mit Platzhaltern, was dazu dient, beispielsweise nach allen Dateien mit der Endung .txt zu fahnden. Normalerweise begrenzt die Funktion GLOB_LIMIT den dafür zugewiesenen Speicher. Die Funktion greift jedoch nicht, wenn der Angreifer mehrere Verzeichnisse über Platzhalter angibt und nach einer nicht existierenden Datei sucht. Durch die manipulierte Suchanfrage kann der Hauptspeicher des Servers volllaufen und den Server schließlich zum Absturz bringen. FTP-Server, die anonyme Zugänge bieten, sind besonders gefährdet. Auch SFTP-Zugänge sind von dem Problem betroffen.

Stellenmarkt
  1. Graduate* Operational Technology/OT (m/w/d)
    SCHOTT AG, Landshut
  2. IT Service Management Expert (m/w/d)
    Soluvia IT-Services GmbH, Mannheim, Kiel, Offenbach
Detailsuche

Einige FTP-Programme bieten selbst die Option, das Globbing ein- oder auszuschalten. Die meisten jedoch greifen auf die Funktion über die Systembibliothek Gnu Libc zu, die entsprechend gepatcht werden muss.

Der Entdecker der DoS-Schwachstelle, Maksymilian Arciemowicz, gibt in seinem Dokument an, dass OpenBSD, NetBSD, FreeBSD, Oracle Sun Solaris 10 und die GNU Libc die Schwachstelle enthalten. Betroffen sind demnach auch die FTP-Server von Adobe, HP und Sun. Oracle hat die betroffene Solaris-Version mittlerweile repariert. Für OpenBSD und NetBSD liegen ebenfalls Patches bereit. Von anderen Distributionen, etwa Linux, gibt es noch keine Hinweise dazu, ob sie betroffen sind oder ob Patches bereitstehen.

Arciemowicz hatte die Schwachstelle bereits im November 2009 entdeckt, veröffentlichte sie aber erst jetzt - samt Exploit zu Demonstrationszwecken.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Gene Roddenberrys andere Sci-Fi-Stoffe
Neben Star Trek leider fast vergessen

Der Name Gene Roddenberry steht vor allem für Star Trek. Nach dem Ende der klassischen Serie hat er aber noch andere Science-Fiction-Stoffe entwickelt.
Von Peter Osteried

Gene Roddenberrys andere Sci-Fi-Stoffe: Neben Star Trek leider fast vergessen
Artikel
  1. Illegales Streaming: House of Dragons bei Piraten beliebter als Ringe der Macht
    Illegales Streaming
    House of Dragons bei Piraten beliebter als Ringe der Macht

    Das Game-of-Thrones-Prequel hat mehr Zuschauer als die neue Herr-der-Ringe-Serie - zumindest via Bittorrent.

  2. Carsten Spohr: Lufthansa-Chef wird Opfer eigener Sicherheitslücke
    Carsten Spohr
    Lufthansa-Chef wird Opfer eigener Sicherheitslücke

    Unbekannte haben einen QR-Code auf einem Boardingpass von Lufthansa-Chef Carsten Spohr ausgelesen und auf persönliche Daten zugreifen können.

  3. Softwareentwicklung: Erste Schritte mit dem modernen Framework Flutter
    Softwareentwicklung
    Erste Schritte mit dem modernen Framework Flutter

    Flutter ist ein tolles und einfach zu erlernendes Framework, vor allem für die Entwicklung mobiler Apps. Eine Anleitung für ein erstes kleines Projekt.
    Eine Anleitung von Pascal Friedrich

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • CyberWeek: Bis -53% auf Gaming-Zubehör und bis -45% auf PC-Audio • Crucial 16-GB-Kit DDR5-4800 69,99€ • Crucial P2 1 TB 67,90€ • MindStar (u. a. Intel Core i5-12600 239€ und Fastro 2-TB-SSD 128€) • Logitech G Pro Gaming Keyboard 77,90€ • Apple iPhone 12 64 GB 659€ [Werbung]
    •  /