Abo
  • Services:
Anzeige
Das Laden eines präparierten Archivs schlägt fehl.
Das Laden eines präparierten Archivs schlägt fehl. (Bild: Screenshot Golem.de)

Linux-Distribution: Less ist ein mögliches Einfallstor

Das Laden eines präparierten Archivs schlägt fehl.
Das Laden eines präparierten Archivs schlägt fehl. (Bild: Screenshot Golem.de)

Das Tool Less wird unter Linux oft benutzt, um in Verbindung mit anderen Tools etwa Dateien zu öffnen. Damit würden viele Fehler und Sicherheitslücken provoziert, meint ein profilierter Hacker.

Anzeige

Obwohl das Tool Less eigentlich ein Pager zum Betrachten von Textdateien ist, lassen sich damit über Shell-Skripte auch Anbindungen an andere Werkzeuge herstellen, so dass etwa auch der Inhalt von Tar-Archiven betrachtet werden kann. Doch genau diese Vorgehensweise ermöglicht das Ausnutzen von Sicherheitslücken bei schadhaften Eingaben, worauf der erfahrene Hacker Michał Zalewski hinweist.

Demnach sind in vielen Distribution Anbindungen zu Werkzeugen wie Groff, Troff, Grotty oder auch Man, Cpio, Isoinfo und weiteren vorhanden. Doch diese seien oft derart gestaltet worden, dass schadhafte Eingaben vernachlässigt wurden, was sich wiederum möglicherweise zum Ausführen von Code ausnutzen lasse, so Zalewski. Oft werde angenommen, dass die Verwendung von Less auf heruntergeladenen Dateien das verhindere, die Anbindung an Drittsoftware unterlaufe die Annahme aber.

Der polnische Hacker greift bei seiner Forschung oft auf das sogenannte Fuzzing zurück, bei dem beliebige Eingaben für Anwendungen getestet werden, um dadurch ausgelöste Fehler aufzufinden. So stieß er auch auf einen Bug in Cpio, der das Schreiben außerhalb der Grenzen von zugewiesenem Speicher ermöglichen kann. Wird ein entsprechend präpariertes Archiv mit Less aufgerufen, ist das Ausnutzen dieses Fehlers möglich.

Um diese Gefahren zu umgehen, empfiehlt Zalewski, die Umgebungsvariablen LESSOPEN und LESSCLOSE mit dem Befehl Unset zu löschen, falls diese von der verwendeten Linux-Distribution gesetzt worden sind. Um zudem weitere Zugriffe über ein Shell-Kommando oder ein per Pipe übergebenes Kommando zu unterbinden, kann die Umgebungsvariable LESSSECURE auf den Wert 1 gesetzt werden. Mit Hilfe der Frameworks SELinux oder App Armor können zudem Richtlinien erstellt werden, die die Möglichkeiten von Less einschränken.


eye home zur Startseite
oleid 26. Nov 2014

Was schlägst du vor, Herr Textignorierer?

Stupendous Man 25. Nov 2014

Tatsächlich? http://sensorstechforum.com/lesspipe-on-linux-less-command-showing-system...

a user 25. Nov 2014

das sagt der richtige... less ist nicht das problem beim RCE sondern das vorgeschaltete...

sk3wy 25. Nov 2014

auch in diesem Fall wieder :-)

Nullmodem 25. Nov 2014

Hmm. Die Umgebungsvariable meint ja sicher das man den 'less' etwas mehr 'secure' macht...



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Leonberg
  2. Ratbacher GmbH, München
  3. W&W Informatik GmbH, Ludwigsburg
  4. operational services GmbH & Co. KG, Chemnitz, Zwickau, Dresden


Anzeige
Spiele-Angebote
  1. 57,99€/69,99€ (Vorbesteller-Preisgarantie)
  2. 59,99€/69,99€ (Vorbesteller-Preisgarantie)
  3. 19,99€

Folgen Sie uns
       


  1. Ronny Verhelst

    Tele-Columbus-Chef geht nach Hause

  2. Alphabet

    Google Gewinn geht wegen EU-Strafe zurück

  3. Microsoft

    Nächste Hololens nutzt Deep-Learning-Kerne

  4. Schwerin

    Livestream-Mitschnitt des Stadtrats kostet 250.000 Euro

  5. Linux-Distributionen

    Mehr als 90 Prozent der Debian-Pakete reproduzierbar

  6. Porsche Design

    Huaweis Porsche-Smartwatch kostet 800 Euro

  7. Smartphone

    Neues Huawei Y6 für 150 Euro bei Aldi erhältlich

  8. Nahverkehr

    18 jähriger E-Ticket-Hacker in Ungarn festgenommen

  9. Bundesinnenministerium

    Neues Online-Bürgerportal kostet 500 Millionen Euro

  10. Linux-Kernel

    Android O filtert Apps großzügig mit Seccomp



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Indiegames Rundschau: Meisterdiebe, Anti- und Arcadehelden
Indiegames Rundschau
Meisterdiebe, Anti- und Arcadehelden
  1. Jump So was wie Netflix für Indiegames
  2. Indiegames-Rundschau Weltraumabenteuer und Strandurlaub
  3. Indiegames-Rundschau Familienflüche, Albträume und Nostalgie

Ausprobiert: JPEGmini Pro komprimiert riesige JPEGs um bis zu 80 Prozent
Ausprobiert
JPEGmini Pro komprimiert riesige JPEGs um bis zu 80 Prozent
  1. Google KI erstellt professionelle Panoramen
  2. Bildbearbeitung Google gibt Nik Collection auf

Kryptowährungen: Bitcoin steht vor grundlegenden Änderungen
Kryptowährungen
Bitcoin steht vor grundlegenden Änderungen
  1. Die Woche im Video Strittige Standards, entzweite Bitcoins, eine Riesenkonsole
  2. Drogenhandel Weltweit größter Darknet-Marktplatz Alphabay ausgehoben
  3. Kryptowährung Bitcoin notiert auf neuem Rekordhoch

  1. Re: Wie viel Menschen klicken auf Werbung?

    amagol | 01:49

  2. Re: Und in Deutschland?

    LordGurke | 01:33

  3. Re: Tele-Columbus ist nicht mehr das was es mal wahr

    dxp | 01:30

  4. Re: Eine Beleidigung für echte Fotografen

    No name089 | 01:20

  5. Re: Andersherum: Wieso nicht das Unternehmen...

    HeroFeat | 00:59


  1. 23:54

  2. 22:48

  3. 16:37

  4. 16:20

  5. 15:50

  6. 15:35

  7. 14:30

  8. 14:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel