Abo
  • Services:
Anzeige
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit.
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit. (Bild: Tnftp - Screenshot: Golem.de)

Codeausführung: FTP-Client-Lücke in BSDs, Mac OS X und Linux-Distributionen

Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit.
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit. (Bild: Tnftp - Screenshot: Golem.de)

Eine Sicherheitslücke in dem FTP-Client von NetBSD erlaubt mit einem angepassten Server das Ausführen von Code auf dem Rechner. Betroffen davon sind wohl verschiedene BSD-Derivate, Mac OS X sowie Linux-Distributionen. Ein Patch steht bereit.

Anzeige

Die NetBSD-Entwickler haben eine Sicherheitslücke in ihrem FTP-Client gefunden, die es erlaubt, Code auf dem Rechner des Anwenders auszuführen. Dazu muss das Programm ohne die Angabe einer Ausgabedatei ausgeführt werden, um eine Datei über eine HTTP-Verbindung herunterzuladen. Die Lücke hat die CVD-ID 2014-8517 bekommen, deren Inhalt allerdings derzeit noch nicht bei Mitre gelistet ist.

Der FTP-Client folgt HTTP-Redirects und untersucht bei der beschriebenen Vorgehensweise den Teil einer URL nach dem letzten /-Zeichen, um diesen zu dem gewünschten Dateinamen aufzulösen. Beginnt dieser so erhaltene Name allerdings mit einem |-Zeichen wird die nachfolgende Zeichenkette an popen weitergegeben, sodass vorbereitete Befehle ausgeführt werden. In einem Beispiel demonstrieren die Entwickler dies mit dem Befehl uname -a, das unter anderem Details zum benutzten Betriebssystem und Kernel ausgibt. Das OpenBSD-Projekt hat ein derartiges Verhalten eigenen Aussagen zufolge bereits vor einiger Zeit unterbunden.

Eine Portierung der betroffenen Anwendung, die Tnftp heißt, wird in vielen verschiedenen BSD-Derivaten, etwa FreeBSD oder auch in Apples Mac OS X verwendet. Die NetBSD-Entwickler schreiben, sie hätten das Unternehmen über die Lücke informiert, die zumindest in der aktuellen Version 10.10 alias Yosemite bestehe. Darüber hinaus setzen viele Linux-Distributionen Tnftp ebenfalls ein oder bieten ihren Anwendern dieses als Paket an. Diese schätzen den Grad der Bedrohung durch den Fehler jedoch sehr unterschiedlich ein.

So stuft das Debian-Projekt die Lücke als kleineres Problem mit geringer Dringlichkeit ein, Red Hat hingegen hält die Lücke für moderat und Suse gar für bedeutend. Das NetBSD-Team hat den Fehler bereits behoben und stellt einen Patch für den Quellcode bereit.


eye home zur Startseite
BRDiger 30. Okt 2014

Kein Ding ;)

tbxi 30. Okt 2014

Jaaajaa, genau wie wget und curl.

bstea 29. Okt 2014

Das Binary heißt ftp, das Projekt heißt tnftp. In der Regel sieht man das bei Skripten...



Anzeige

Stellenmarkt
  1. Warner Music Group Germany Holding GmbH, Hamburg
  2. Jobware Online-Service GmbH, Paderborn
  3. Fresenius Medical Care Deutschland GmbH, Bad Homburg
  4. twocream, Wuppertal


Anzeige
Hardware-Angebote
  1. 17,99€ statt 29,99€
  2. und bis zu 60€ Steam-Guthaben erhalten

Folgen Sie uns
       


  1. Neuauflage

    Neues Nokia 3310 soll bei Defekt komplett ersetzt werden

  2. Surface Studio

    Microsofts Grafikerstation kommt nach Deutschland

  3. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  4. Schutz

    Amazon rechtfertigt Sperrungen von Marketplace-Händlern

  5. CPU-Architektur

    RISC-V-Patches für Linux erstmals eingereicht

  6. FSP Hydro PTM+

    Wassergekühltes PC-Netzteil liefert 1.400 Watt

  7. Matebook X und E im Hands on

    Huawei kann auch Notebooks

  8. Celsius-Workstations

    Fujitsu bringt sichere Notebooks und kabellose Desktops

  9. O2 und E-Plus

    Telefónica hat weiter Probleme außerhalb von Städten

  10. Project Zero

    Google-Entwickler baut Windows-Loader für Linux



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Quantencomputer: Nano-Kühlung für Qubits
Quantencomputer
Nano-Kühlung für Qubits
  1. IBM Q Mehr Qubits von IBM
  2. Quantencomputer Was sind diese Qubits?
  3. Verschlüsselung Kryptographie im Quantenzeitalter

Tado im Langzeittest: Am Ende der Heizperiode
Tado im Langzeittest
Am Ende der Heizperiode
  1. Speedport Smart Telekom bringt Smart-Home-Funktionen auf den Speedport
  2. Tapdo Das Smart Home mit Fingerabdrücken steuern
  3. Mehr Möbel als Gadget Eine Holzfernbedienung für das Smart Home

Blackberry Keyone im Test: Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
Blackberry Keyone im Test
Tolles Tastatur-Smartphone hat zu kurze Akkulaufzeit
  1. Blackberry Keyone kommt Mitte Mai
  2. Keyone Blackberrys neues Tastatur-Smartphone kommt später
  3. Blackberry Keyone im Hands on Android-Smartphone mit toller Hardware-Tastatur

  1. Re: Keine Ethernet-Buchse :~(

    SchmuseTigger | 17:58

  2. Re: Arbeitsspeicher aufrüstbar?

    root666 | 17:56

  3. Re: Was mich grundsätzlich bei WaKü stört...

    Eheran | 17:56

  4. Re: 16GB RAM unzeitgemäß

    matzems | 17:54

  5. Wer ahnt hier Zusammenhänge????

    gast22 | 17:53


  1. 17:59

  2. 17:44

  3. 17:20

  4. 16:59

  5. 16:30

  6. 15:40

  7. 15:32

  8. 15:20


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel