• IT-Karriere:
  • Services:

Sicherheitslücke: VIM-Modelines erlauben Codeausführung

Im Texteditor VIM wurde eine Sicherheitslücke gefunden, bei der ein speziell präpariertes Dokument Code ausführen kann. Die dafür genutzte Funktion der Modelines ist nur auf manchen Systemen aktiv.

Artikel veröffentlicht am ,
Nicht unbedingt der Ort, an dem man eine Sicherheitslücke erwartet: der Editor VIM.
Nicht unbedingt der Ort, an dem man eine Sicherheitslücke erwartet: der Editor VIM. (Bild: VIM-Logo + Quellcode)

Texteditoren gehören nicht gerade zu den Tools, bei denen man gravierende Sicherheitslücken erwartet. Doch ein Sicherheitsforscher hat jetzt im Texteditor VIM eine Lücke entdeckt, bei der mittels sogenannter Modelines eine Codeausführung erreicht werden kann. Der VIM-Fork Neovim ist ebenfalls betroffen.

Stellenmarkt
  1. CURRENTA GmbH & Co. OHG, Leverkusen
  2. Versicherungskammer Bayern, Saarbrücken

Die Modelines ermöglichen es, in einem Textdokument bestimmte Einstellungen für das Editieren des jeweiligen Dokuments zu definieren. Somit kann man den Editor für jedes Dokument separat konfigurieren.

Sandbox ausgetrickst

Die Möglichkeiten sind dabei sehr vielfältig und es gibt zahlreiche gefährliche Optionen, die teilweise in einer Art Sandbox ausgeführt werden. Doch die Sandbox ließ sich austricksen. Der Bericht des Sicherheitsforschers listet mehrere Beispiele auf, wie man mittels der Modelines Kommandozeilenbefehle ausführen kann.

Dass die Modelines gefährlich sein können, war schon vorher bekannt. Manche Linux-Distributionen liefern daher VIM mit einer Konfiguration aus, die die Modelines abschaltet. Gesteuert werden kann das über das Kommando "set nomodelines" in der vimrc-Datei. Setzt man diese Konfigurationsoption nicht sind die Modelines jedoch aktiv und der Angriff ist möglich.

Der Fehler wurde in VIM Version 8.1.365 behoben, in Neovim ist der Fix in Version 0.3.6.

Auch für Notepad steht ein Sicherheitsupdate an

VIM ist übrigens nicht der einzige Editor, in dem gerade eine Sicherheitslücke gefunden wurde. Google-Mitarbeiter Tavis Ormandy schrieb vor einigen Tagen auf Twitter, dass er im Windows-Editor Notepad eine Memory-Corruption-Lücke gefunden habe. Details dazu sind bisher nicht bekannt. Nach den Richtlinien von Google's Project Zero, für das Ormandy arbeitet, hat der Hersteller Microsoft 90 Tage Zeit, einen Fix bereitzustellen, bevor Informationen zu Sicherheitslücken veröffentlicht werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Darksiders 3 für 15,99€, The Moment of Silence für 2,50€, Steel Division: Normandy 44...
  2. (u. a. Die Sims 4 - Nachhaltig leben (DLC) - Eco Lifestyle für 28,49€, F1 2019 - Legends Edition...
  3. (u. a. Huawei Mediapad T5 für 159€, Acer ED273URP WQHD-Monitor mit 144 Hz für 289€ statt 328...

twothe 05. Jun 2019

strg-c-a-p-alt-i = Zeile neu formatieren und alle Fehler im Code beheben strg-c-a-p-shift...

iD0nTkn0w 05. Jun 2019

Mit securemodelines https://www.vim.org/scripts/script.php?script_id=1876 werden die...

hab (Golem.de) 05. Jun 2019

Oh, stimmt tatsächlich. Ich hatte auf meinem System in der Konfigurationsdatei einen...


Folgen Sie uns
       


Cirrus7 Incus A300 - Test

Wir testen den Incus A300 von Cirrus7, einen passiv gekühlten Mini-PC für AMDs Ryzen 2000G/3000G.

Cirrus7 Incus A300 - Test Video aufrufen
    •  /