• IT-Karriere:
  • Services:

Security: Authentifizierung in OpenBSD aus der Ferne umgehbar

Das auf Sicherheit fokussierte Betriebssystem OpenBSD hat eine Sicherheitslücke geschlossen, mit der sich die Authentifizierung auch aus der Ferne umgehen lässt. Das betrifft den SMTP-, LDAP- und Radius-Daemon.

Artikel veröffentlicht am ,
Der Kugelfisch ist das Maskottchen von OpenBSD.
Der Kugelfisch ist das Maskottchen von OpenBSD. (Bild: jim, flickr.com/CC-BY-SA 2.0)

Die Entwickler des freien Betriebssystem OpenBSD haben mehrere miteinander in Verbindung stehende Sicherheitslücken geschlossen. Diese sind auf einen Fehler in der von dem System genutzten Standard-C-Bibliothek (Libc) zurückzuführen. Wie Forscher des Sicherheitsunternehmens Qualys herausgefunden haben, lässt sich unter Ausnutzung der Lücke die Nutzer-Authentifizierung bestimmter Systemdienste umgehen, was auch aus der Ferne ausgenutzt werden kann.

Stellenmarkt
  1. Landkreis Stade, Stade
  2. INTENSE AG, Würzburg, Saarbrücken, Köln

Das ist insbesondere deshalb interessant, weil das auf Sicherheit fokussierte Betriebssystem dafür bekannt ist, diese Ausnutzung aus der Ferne eigentlich weitgehend zu verhindern. Die Entwickler-Community von OpenBSD schreibt auf ihrer Webseite, dass dies bisher erst zweimal geschehen sei.

Zum Ausnutzen der kritischeren Sicherheitslücke (CVE-2019-19521) reicht es laut dem Bericht von Qualys aus, als Nutzernamen die Loginoption -schallenge beziehungsweise -schallenge:passwd anzugeben. Damit sei die Authentifizierung automatisch erfolgreich und kann trivial umgangen werden. Möglich ist dies demnach bei dem SMTP-, LDAP- sowie Radius-Daemon von OpenBSD.

Weitere Anwendungen wie etwa das kleine Werkzeug su stürzen beim Versuch ab, die Lücke auszunutzen. Der SSH-Daemon ist darüber hinaus nicht von der Lücke betroffen, lässt sich aber dafür ausnutzen, um das System daraufhin zu überprüfen, ob die Lücke prinzipiell ausnutzbar ist.

Auch lokale Angriffe möglich

Eine ähnliche Sicherheitslücke (CVE-2019-19520) betrifft die Bildschirmsperre Xlock, mit der sich lokale Angreifer weitere Rechte verschaffen können. Diese können dann verwendet werden, um unter Ausnutzung einer weiteren Lücke (CVE-2019-19522) die erst vor kurzem in OpenBSD eingeführte Authentifizierung per Yubikey zu verwenden, um sich Root-Rechte zu verschaffen. Darüber hinaus können lokale Angreifer über eine weitere Sicherheitslücke (CVE-2019-19519) in der Anwendungen su ihre Rechte auf die Loginklassen des Root-Nutzers erweitern.

Das Team von Qualys dankt den OpenBSD-Entwicklern für ihre schnelle Reaktion auf die Meldung der Sicherheitslücken. Die Updates dafür waren demnach bereits nach 40 Stunden verfügbar.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. 69,99€ (Vergleichspreis 103,99€)
  2. täglich neue Deals bei Alternate.de

roklein 05. Dez 2019 / Themenstart

In der Standardinstallation sind OpenSMTPD, ldapd und radiusd nicht für bsdauth...

mxcd 05. Dez 2019 / Themenstart

Das ist ja wirklich unschön. Gut, dass es so schnell gepatcht wurde.

sg (Golem.de) 05. Dez 2019 / Themenstart

Das sollte natürlich Radius heißen. Danke für den Hinweis.

Kommentieren


Folgen Sie uns
       


Nubia Z20 - Test

Das Nubia Z20 hat sowohl auf der Vorderseite als auch auf der Rückseite einen Bildschirm. Dadurch ergeben sich neue Möglichkeiten der Benutzung, wie sich Golem.de im Test angeschaut hat.

Nubia Z20 - Test Video aufrufen
Arbeit: Warum anderswo mehr Frauen IT-Berufe ergreifen
Arbeit
Warum anderswo mehr Frauen IT-Berufe ergreifen

In Deutschland ist die Zahl der Frauen in IT-Studiengängen und -Berufen viel niedriger als die der Männer. Doch in anderen Ländern sieht es ganz anders aus, etwa im arabischen Raum. Warum?
Von Valerie Lux

  1. Arbeit Was IT-Recruiting von der Bundesliga lernen kann
  2. Arbeit Wer ein Helfersyndrom hat, ist im IT-Support richtig
  3. Bewerber für IT-Jobs Unzureichend qualifiziert, zu wenig erfahren oder zu teuer

Erneuerbare Energien: Windkraft in Luft speichern
Erneuerbare Energien
Windkraft in Luft speichern

In Zukunft wird es mehr Strom aus Windkraft geben. Weil die Anlagen aber nicht kontinuierlich liefern, werden Stromspeicher immer wichtiger. Batterien sind eine Möglichkeit, das britische Startup Highview Power hat jedoch eine andere gefunden: flüssige Luft.
Ein Bericht von Wolfgang Kempkens

  1. Energiewende Norddeutschland wird H
  2. Energiewende Brandenburg bekommt ein Wasserstoff-Speicherkraftwerk
  3. Energiewende Dänemark plant künstliche Insel für Wasserstofferzeugung

Radeon RX 5600 XT im Test: AMDs Schneller als erwartet-Grafikkarte
Radeon RX 5600 XT im Test
AMDs "Schneller als erwartet"-Grafikkarte

Für 300 Euro ist die Radeon RX 5600 XT interessant - trotz Konkurrenz durch Nvidia und AMD selbst. Wie sehr die Navi-Grafikkarte empfehlenswert ist, hängt davon ab, ob Nutzer sich einen Flash-Vorgang zutrauen.
Ein Test von Marc Sauter

  1. Grafikkarte AMD bringt RX 5600 XT im Januar
  2. Grafikkarte Radeon RX 5600 XT hat 2.304 Shader und 6 GByte Speicher
  3. Radeon RX 5500 XT (8GB) im Test Selbst mehr Speicher hilft AMD nicht

    •  /