Abo
  • Services:

Linux-Distribution: Less ist ein mögliches Einfallstor

Das Tool Less wird unter Linux oft benutzt, um in Verbindung mit anderen Tools etwa Dateien zu öffnen. Damit würden viele Fehler und Sicherheitslücken provoziert, meint ein profilierter Hacker.

Artikel veröffentlicht am ,
Das Laden eines präparierten Archivs schlägt fehl.
Das Laden eines präparierten Archivs schlägt fehl. (Bild: Screenshot Golem.de)

Obwohl das Tool Less eigentlich ein Pager zum Betrachten von Textdateien ist, lassen sich damit über Shell-Skripte auch Anbindungen an andere Werkzeuge herstellen, so dass etwa auch der Inhalt von Tar-Archiven betrachtet werden kann. Doch genau diese Vorgehensweise ermöglicht das Ausnutzen von Sicherheitslücken bei schadhaften Eingaben, worauf der erfahrene Hacker Michał Zalewski hinweist.

Stellenmarkt
  1. Randstad Deutschland GmbH & Co. KG, Flensburg
  2. Zühlke Engineering GmbH, Stuttgart, Eschborn bei Frankfurt am Main, Hannover, Hamburg, München

Demnach sind in vielen Distribution Anbindungen zu Werkzeugen wie Groff, Troff, Grotty oder auch Man, Cpio, Isoinfo und weiteren vorhanden. Doch diese seien oft derart gestaltet worden, dass schadhafte Eingaben vernachlässigt wurden, was sich wiederum möglicherweise zum Ausführen von Code ausnutzen lasse, so Zalewski. Oft werde angenommen, dass die Verwendung von Less auf heruntergeladenen Dateien das verhindere, die Anbindung an Drittsoftware unterlaufe die Annahme aber.

Der polnische Hacker greift bei seiner Forschung oft auf das sogenannte Fuzzing zurück, bei dem beliebige Eingaben für Anwendungen getestet werden, um dadurch ausgelöste Fehler aufzufinden. So stieß er auch auf einen Bug in Cpio, der das Schreiben außerhalb der Grenzen von zugewiesenem Speicher ermöglichen kann. Wird ein entsprechend präpariertes Archiv mit Less aufgerufen, ist das Ausnutzen dieses Fehlers möglich.

Um diese Gefahren zu umgehen, empfiehlt Zalewski, die Umgebungsvariablen LESSOPEN und LESSCLOSE mit dem Befehl Unset zu löschen, falls diese von der verwendeten Linux-Distribution gesetzt worden sind. Um zudem weitere Zugriffe über ein Shell-Kommando oder ein per Pipe übergebenes Kommando zu unterbinden, kann die Umgebungsvariable LESSSECURE auf den Wert 1 gesetzt werden. Mit Hilfe der Frameworks SELinux oder App Armor können zudem Richtlinien erstellt werden, die die Möglichkeiten von Less einschränken.



Anzeige
Blu-ray-Angebote
  1. (2 Monate Sky Ticket für nur 4,99€)
  2. 9,99€
  3. ab je 2,49€ kaufen

oleid 26. Nov 2014

Was schlägst du vor, Herr Textignorierer?

Stupendous Man 25. Nov 2014

Tatsächlich? http://sensorstechforum.com/lesspipe-on-linux-less-command-showing-system...

a user 25. Nov 2014

das sagt der richtige... less ist nicht das problem beim RCE sondern das vorgeschaltete...

sk3wy 25. Nov 2014

auch in diesem Fall wieder :-)

Nullmodem 25. Nov 2014

Hmm. Die Umgebungsvariable meint ja sicher das man den 'less' etwas mehr 'secure' macht...


Folgen Sie uns
       


HP Elitebook 735 G5 - Test

Wir schauen uns das HP Elitebook 735 G5 an, eines der besten Business-Notebooks mit AMDs Ryzen Mobile.

HP Elitebook 735 G5 - Test Video aufrufen
IT-Jobs: Achtung! Agiler Coach gesucht?
IT-Jobs
Achtung! Agiler Coach gesucht?

Überall werden sie gesucht, um den digitalen Wandel voranzutreiben: agile Coaches. In den Jobbeschreibungen warten spannende Aufgaben, jedoch müssen Bewerber aufpassen, dass sie die richtigen Fragen stellen, wenn sie etwas bewegen möchten.
Von Marvin Engel

  1. Wework Die Kaffeeautomatisierung des Lebens
  2. IT-Jobs Fünf neue Mitarbeiter in fünf Wochen?
  3. Frauen in IT-Berufen Programmierte Klischees

Foam: Geodaten auf der Blockchain
Foam
Geodaten auf der Blockchain

Sinnvolle Blockchain-Anwendungen sind noch immer rar. Das Unternehmen Foam aus Brooklyn will Location Services auf die Blockchain bringen und setzt dabei auf ein Lora-Netzwerk statt auf GPS.
Von Dirk Koller


    Disenchantment angeschaut: Fantasy-Kurzweil vom Simpsons-Schöpfer
    Disenchantment angeschaut
    Fantasy-Kurzweil vom Simpsons-Schöpfer

    Mit den Simpsons ist er selbst Kult geworden, und Nachfolger Futurama hat nicht nur Sci-Fi-Nerds mit einem Auge für verschlüsselte Gags im Bildhintergrund begeistert. Bei Netflix folgt nun Matt Groenings Cartoonserie Disenchantment, die uns trotz liebenswerter Hauptfiguren in Märchenkulissen allerdings nicht ganz zu verzaubern weiß.
    Eine Rezension von Daniel Pook

    1. Promotion Netflix testet Werbung zwischen Serienepisoden
    2. Streaming Wachstum beim Pay-TV dank Netflix und Amazon
    3. Videostreaming Netflix soll am Fernseher übersichtlicher werden

      •  /