Abo
  • IT-Karriere:

Codeausführung: FTP-Client-Lücke in BSDs, Mac OS X und Linux-Distributionen

Eine Sicherheitslücke in dem FTP-Client von NetBSD erlaubt mit einem angepassten Server das Ausführen von Code auf dem Rechner. Betroffen davon sind wohl verschiedene BSD-Derivate, Mac OS X sowie Linux-Distributionen. Ein Patch steht bereit.

Artikel veröffentlicht am ,
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit.
Für die Lücke in dem FTP-Client Tnftp steht inzwischen ein Patch bereit. (Bild: Tnftp - Screenshot: Golem.de)

Die NetBSD-Entwickler haben eine Sicherheitslücke in ihrem FTP-Client gefunden, die es erlaubt, Code auf dem Rechner des Anwenders auszuführen. Dazu muss das Programm ohne die Angabe einer Ausgabedatei ausgeführt werden, um eine Datei über eine HTTP-Verbindung herunterzuladen. Die Lücke hat die CVD-ID 2014-8517 bekommen, deren Inhalt allerdings derzeit noch nicht bei Mitre gelistet ist.

Stellenmarkt
  1. DT Netsolution GmbH, Stuttgart
  2. BWI GmbH, Bonn

Der FTP-Client folgt HTTP-Redirects und untersucht bei der beschriebenen Vorgehensweise den Teil einer URL nach dem letzten /-Zeichen, um diesen zu dem gewünschten Dateinamen aufzulösen. Beginnt dieser so erhaltene Name allerdings mit einem |-Zeichen wird die nachfolgende Zeichenkette an popen weitergegeben, sodass vorbereitete Befehle ausgeführt werden. In einem Beispiel demonstrieren die Entwickler dies mit dem Befehl uname -a, das unter anderem Details zum benutzten Betriebssystem und Kernel ausgibt. Das OpenBSD-Projekt hat ein derartiges Verhalten eigenen Aussagen zufolge bereits vor einiger Zeit unterbunden.

Eine Portierung der betroffenen Anwendung, die Tnftp heißt, wird in vielen verschiedenen BSD-Derivaten, etwa FreeBSD oder auch in Apples Mac OS X verwendet. Die NetBSD-Entwickler schreiben, sie hätten das Unternehmen über die Lücke informiert, die zumindest in der aktuellen Version 10.10 alias Yosemite bestehe. Darüber hinaus setzen viele Linux-Distributionen Tnftp ebenfalls ein oder bieten ihren Anwendern dieses als Paket an. Diese schätzen den Grad der Bedrohung durch den Fehler jedoch sehr unterschiedlich ein.

So stuft das Debian-Projekt die Lücke als kleineres Problem mit geringer Dringlichkeit ein, Red Hat hingegen hält die Lücke für moderat und Suse gar für bedeutend. Das NetBSD-Team hat den Fehler bereits behoben und stellt einen Patch für den Quellcode bereit.



Anzeige
Hardware-Angebote
  1. 274,00€
  2. 529,00€
  3. ab 369€ + Versand

BRDiger 30. Okt 2014

Kein Ding ;)

tbxi 30. Okt 2014

Jaaajaa, genau wie wget und curl.

bstea 29. Okt 2014

Das Binary heißt ftp, das Projekt heißt tnftp. In der Regel sieht man das bei Skripten...


Folgen Sie uns
       


Seasonic TX-700 Fanless und The First - Hands on (Computex 2019)

Das Prime TX-700 Fanless vo Seasonic ist das derzeit stärkste passiv gekühlte Netzteil am Markt. Die kompaktere Variante namens PX-500 wiederum passt in das The First von Monsterlabo, ein Gehäuse, um 200-Watt-Komponenten passiv zu kühlen.

Seasonic TX-700 Fanless und The First - Hands on (Computex 2019) Video aufrufen
Endpoint Security: IT-Sicherheit ist ein Cocktail mit vielen Zutaten
Endpoint Security
IT-Sicherheit ist ein Cocktail mit vielen Zutaten

Tausende Geräte in hundert verschiedenen Modellen mit Dutzenden unterschiedlichen Betriebssystemen. Das ist in großen Unternehmen Alltag und stellt alle, die für die IT-Sicherheit zuständig sind, vor Herausforderungen.
Von Anna Biselli

  1. Datendiebstahl Kundendaten zahlreicher deutscher Firmen offen im Netz
  2. Metro & Dish Tisch-Reservierung auf Google übernehmen
  3. Identitätsdiebstahl SIM-Dieb kommt zehn Jahre in Haft

Projektorkauf: Lumen, ANSI und mehr
Projektorkauf
Lumen, ANSI und mehr

Gerade bei Projektoren werden auf Plattformen verschiedener Onlinehändler kuriose Angaben zur Helligkeit beziehungsweise Leuchtstärke gemacht - sofern diese überhaupt angegeben werden. Wir bringen etwas Licht ins Dunkel und beschäftigen uns mit Einheiten rund um das Thema Helligkeit.
Von Mike Wobker


    Ricoh GR III im Test: Kompaktkamera mit Riesensensor, aber ohne Zoom
    Ricoh GR III im Test
    Kompaktkamera mit Riesensensor, aber ohne Zoom

    Kann das gutgehen? Ricoh hat mit der GR III eine Kompaktkamera im Sortiment, die mit einem APS-C-Sensor ausgerüstet ist, rund 900 Euro kostet und keinen Zoom bietet. Wir haben die Kamera ausprobiert.
    Ein Test von Andreas Donath

    1. Theta Z1 Ricoh stellt 360-Grad-Panoramakamera mit Profifunktionen vor
    2. Ricoh GR III Eine halbe Sekunde Belichtungszeit ohne Stativ

      •  /