Security: Authentifizierung in OpenBSD aus der Ferne umgehbar

Das auf Sicherheit fokussierte Betriebssystem OpenBSD hat eine Sicherheitslücke geschlossen, mit der sich die Authentifizierung auch aus der Ferne umgehen lässt. Das betrifft den SMTP-, LDAP- und Radius-Daemon.

Artikel veröffentlicht am ,
Der Kugelfisch ist das Maskottchen von OpenBSD.
Der Kugelfisch ist das Maskottchen von OpenBSD. (Bild: jim, flickr.com/CC-BY-SA 2.0)

Die Entwickler des freien Betriebssystem OpenBSD haben mehrere miteinander in Verbindung stehende Sicherheitslücken geschlossen. Diese sind auf einen Fehler in der von dem System genutzten Standard-C-Bibliothek (Libc) zurückzuführen. Wie Forscher des Sicherheitsunternehmens Qualys herausgefunden haben, lässt sich unter Ausnutzung der Lücke die Nutzer-Authentifizierung bestimmter Systemdienste umgehen, was auch aus der Ferne ausgenutzt werden kann.

Stellenmarkt
  1. Computer System Validation (CSV) Specialist (m/w/d)
    Zamann Pharma Support GmbH, Lampertheim
  2. IT-Service Desk Agent (m/w/d) 1st Level-Beschaffung
    HÜBNER GmbH & Co. KG, Kassel-Waldau
Detailsuche

Das ist insbesondere deshalb interessant, weil das auf Sicherheit fokussierte Betriebssystem dafür bekannt ist, diese Ausnutzung aus der Ferne eigentlich weitgehend zu verhindern. Die Entwickler-Community von OpenBSD schreibt auf ihrer Webseite, dass dies bisher erst zweimal geschehen sei.

Zum Ausnutzen der kritischeren Sicherheitslücke (CVE-2019-19521) reicht es laut dem Bericht von Qualys aus, als Nutzernamen die Loginoption -schallenge beziehungsweise -schallenge:passwd anzugeben. Damit sei die Authentifizierung automatisch erfolgreich und kann trivial umgangen werden. Möglich ist dies demnach bei dem SMTP-, LDAP- sowie Radius-Daemon von OpenBSD.

Weitere Anwendungen wie etwa das kleine Werkzeug su stürzen beim Versuch ab, die Lücke auszunutzen. Der SSH-Daemon ist darüber hinaus nicht von der Lücke betroffen, lässt sich aber dafür ausnutzen, um das System daraufhin zu überprüfen, ob die Lücke prinzipiell ausnutzbar ist.

Auch lokale Angriffe möglich

Golem Karrierewelt
  1. First Response auf Security Incidents: Ein-Tages-Workshop
    14.11.2022, Virtuell
  2. Einführung in Unity: virtueller Ein-Tages-Workshop
    13.10.2022, Virtuell
Weitere IT-Trainings

Eine ähnliche Sicherheitslücke (CVE-2019-19520) betrifft die Bildschirmsperre Xlock, mit der sich lokale Angreifer weitere Rechte verschaffen können. Diese können dann verwendet werden, um unter Ausnutzung einer weiteren Lücke (CVE-2019-19522) die erst vor kurzem in OpenBSD eingeführte Authentifizierung per Yubikey zu verwenden, um sich Root-Rechte zu verschaffen. Darüber hinaus können lokale Angreifer über eine weitere Sicherheitslücke (CVE-2019-19519) in der Anwendungen su ihre Rechte auf die Loginklassen des Root-Nutzers erweitern.

Das Team von Qualys dankt den OpenBSD-Entwicklern für ihre schnelle Reaktion auf die Meldung der Sicherheitslücken. Die Updates dafür waren demnach bereits nach 40 Stunden verfügbar.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


roklein 05. Dez 2019

In der Standardinstallation sind OpenSMTPD, ldapd und radiusd nicht für bsdauth...

mxcd 05. Dez 2019

Das ist ja wirklich unschön. Gut, dass es so schnell gepatcht wurde.

sg (Golem.de) 05. Dez 2019

Das sollte natürlich Radius heißen. Danke für den Hinweis.



Aktuell auf der Startseite von Golem.de
Polizei NRW
Palantir-Software verteuert sich drastisch

Nordrhein-Westfalen muss deutlich mehr Geld für eine Datenbanksoftware ausgeben. Doch es sollen damit schon Straftaten verhindert worden sein.

Polizei NRW: Palantir-Software verteuert sich drastisch
Artikel
  1. US-Whistleblower: Putin verleiht Snowden die russische Staatsbürgerschaft
    US-Whistleblower  
    Putin verleiht Snowden die russische Staatsbürgerschaft

    US-Whistleblower Edward Snowden ist nun auch russischer Staatsbürger. Für den Krieg gegen die Ukraine kann er aber vorerst nicht eingezogen werden.

  2. Star Wars: Lego bringt großes Set der Razor Crest aus The Mandalorian
    Star Wars
    Lego bringt großes Set der Razor Crest aus The Mandalorian

    Aus fast 6.200 Teilen besteht das große Lego-Set der Razor Crest. Sie ist teuer, nicht aber für ein Star-Wars-Set.

  3. Creative Commons, Pixabay, Unsplash: Rechtliche Fallstricke bei Gratis-Stockfotos
    Creative Commons, Pixabay, Unsplash
    Rechtliche Fallstricke bei Gratis-Stockfotos

    Pixabay, Unsplash, CC ermöglichen eine gebührenfreie Nutzung kreativer Werke. Vorsicht ist dennoch geboten: vor Abmahnmaschen, falschen Quellenangaben, unklarer Rechtslage.
    Eine Analyse von Florian Zandt

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • AMD Ryzen 7000 jetzt bestellbar • CyberWeek: PC-Tower, Cooling & Co. • Günstig wie nie: Asus RX 6700 XT 539€, Acer 31,5" 4K 144 Hz 899€, MSI RTX 3090 1.159€ • AMD Ryzen 7 5800X 287,99€ • Xbox Wireless Controller 49,99€ • MindStar (Gigabyte RTX 3060 Ti 522€) [Werbung]
    •  /