Codeausführung: FTP-Client-Lücke in BSDs, Mac OS X und Linux-Distributionen

Eine Sicherheitslücke in dem FTP-Client von NetBSD erlaubt mit einem angepassten Server das Ausführen von Code auf dem Rechner. Betroffen davon sind wohl verschiedene BSD-Derivate, Mac OS X sowie Linux-Distributionen. Ein Patch steht bereit.

Artikel veröffentlicht am ,
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit.
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit. (Bild: Tnftp - Screenshot: Golem.de)

Die NetBSD-Entwickler haben eine Sicherheitslücke in ihrem FTP-Client gefunden, die es erlaubt, Code auf dem Rechner des Anwenders auszuführen. Dazu muss das Programm ohne die Angabe einer Ausgabedatei ausgeführt werden, um eine Datei über eine HTTP-Verbindung herunterzuladen. Die Lücke hat die CVD-ID 2014-8517 bekommen, deren Inhalt allerdings derzeit noch nicht bei Mitre gelistet ist.

Stellenmarkt
  1. Stellvertretender Teamleiter Entwicklung (m/w/d)
    Otto Harrandt GmbH, Leutenbach
  2. Fronted Developer (React) (m/w/d)
    codestryke GmbH, München
Detailsuche

Der FTP-Client folgt HTTP-Redirects und untersucht bei der beschriebenen Vorgehensweise den Teil einer URL nach dem letzten /-Zeichen, um diesen zu dem gewünschten Dateinamen aufzulösen. Beginnt dieser so erhaltene Name allerdings mit einem |-Zeichen wird die nachfolgende Zeichenkette an popen weitergegeben, sodass vorbereitete Befehle ausgeführt werden. In einem Beispiel demonstrieren die Entwickler dies mit dem Befehl uname -a, das unter anderem Details zum benutzten Betriebssystem und Kernel ausgibt. Das OpenBSD-Projekt hat ein derartiges Verhalten eigenen Aussagen zufolge bereits vor einiger Zeit unterbunden.

Eine Portierung der betroffenen Anwendung, die Tnftp heißt, wird in vielen verschiedenen BSD-Derivaten, etwa FreeBSD oder auch in Apples Mac OS X verwendet. Die NetBSD-Entwickler schreiben, sie hätten das Unternehmen über die Lücke informiert, die zumindest in der aktuellen Version 10.10 alias Yosemite bestehe. Darüber hinaus setzen viele Linux-Distributionen Tnftp ebenfalls ein oder bieten ihren Anwendern dieses als Paket an. Diese schätzen den Grad der Bedrohung durch den Fehler jedoch sehr unterschiedlich ein.

So stuft das Debian-Projekt die Lücke als kleineres Problem mit geringer Dringlichkeit ein, Red Hat hingegen hält die Lücke für moderat und Suse gar für bedeutend. Das NetBSD-Team hat den Fehler bereits behoben und stellt einen Patch für den Quellcode bereit.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Cyberbunker-Verfahren
Ein Bunker voller Honig

Das Verfahren gegen die Cyberbunker-Betreiber hat sich für die Staatsanwaltschaft gelohnt - egal, wie das Urteil ausfällt. So leicht kommt sie wohl nie wieder an Daten illegaler Marktplätze.
Eine Analyse von Friedhelm Greis

Cyberbunker-Verfahren: Ein Bunker voller Honig
Artikel
  1. Framework Laptop: Notebook mit austauschbaren Anschlüssen liegt auf Lager
    Framework Laptop
    Notebook mit austauschbaren Anschlüssen liegt auf Lager

    Erste Kunden können ihren neuen Framework Laptop eventuell noch vor Weihnachten zusammenbauen. Ende 2021 sollen dann EU-Staaten folgen.

  2. Wie KI bei der Vorhersage des Weltraumwetters hilft
     
    Wie KI bei der Vorhersage des Weltraumwetters hilft

    In einem gemeinsamen Innovationsexperiment erproben Bundeswehr und ihr Digitalisierungspartner, die BWI, wie künstliche Intelligenz (KI) die Vorhersage des Weltraumwetters unterstützen kann.
    Sponsored Post von BWI

  3. Apples iPhone: Ungewollter App-Logout unter iOS 15 nervt Nutzer
    Apples iPhone
    Ungewollter App-Logout unter iOS 15 nervt Nutzer

    Wenn sich Apps auf dem iPhone ungewollt abmelden, hilft derzeit nur das Warten auf ein App-Update.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • MM Weihnachtsgeschenkt (u. a. 3 Spiele kaufen, nur 2 bezahlen) • Apple Days bei Saturn (u. a. MacBook Air M1 949€) • Switch OLED 349,99€ • Saturn-Advent: HP Reverb G2 + Controller 499,99€ • Dualsense + Destruction All Stars 62,99€ • Alternate (u. a. Corsair 750W-Netzteil 79,90€) [Werbung]
    •  /