Codeausführung: FTP-Client-Lücke in BSDs, Mac OS X und Linux-Distributionen
Die NetBSD-Entwickler haben eine Sicherheitslücke in ihrem FTP-Client(öffnet im neuen Fenster) gefunden, die es erlaubt, Code auf dem Rechner des Anwenders auszuführen. Dazu muss das Programm ohne die Angabe einer Ausgabedatei ausgeführt werden, um eine Datei über eine HTTP-Verbindung herunterzuladen. Die Lücke hat die CVD-ID 2014-8517(öffnet im neuen Fenster) bekommen, deren Inhalt allerdings derzeit noch nicht bei Mitre gelistet(öffnet im neuen Fenster) ist.
Der FTP-Client folgt HTTP-Redirects und untersucht bei der beschriebenen Vorgehensweise den Teil einer URL nach dem letzten /-Zeichen, um diesen zu dem gewünschten Dateinamen aufzulösen. Beginnt dieser so erhaltene Name allerdings mit einem |-Zeichen wird die nachfolgende Zeichenkette an popen(öffnet im neuen Fenster) weitergegeben, sodass vorbereitete Befehle ausgeführt werden. In einem Beispiel demonstrieren die Entwickler dies mit dem Befehl uname -a, das unter anderem Details zum benutzten Betriebssystem und Kernel ausgibt. Das OpenBSD-Projekt hat ein derartiges Verhalten eigenen Aussagen zufolge(öffnet im neuen Fenster) bereits vor einiger Zeit unterbunden.
Eine Portierung der betroffenen Anwendung, die Tnftp heißt, wird in vielen verschiedenen BSD-Derivaten, etwa FreeBSD oder auch in Apples Mac OS X verwendet. Die NetBSD-Entwickler schreiben, sie hätten das Unternehmen über die Lücke informiert, die zumindest in der aktuellen Version 10.10 alias Yosemite bestehe. Darüber hinaus setzen viele Linux-Distributionen Tnftp ebenfalls ein oder bieten ihren Anwendern dieses als Paket an. Diese schätzen den Grad der Bedrohung durch den Fehler jedoch sehr unterschiedlich ein.
So stuft das Debian-Projekt(öffnet im neuen Fenster) die Lücke als kleineres Problem mit geringer Dringlichkeit ein, Red Hat(öffnet im neuen Fenster) hingegen hält die Lücke für moderat und Suse(öffnet im neuen Fenster) gar für bedeutend. Das NetBSD-Team hat den Fehler bereits behoben und stellt einen Patch für den Quellcode bereit.