• IT-Karriere:
  • Services:

Sicherheitslücke: VIM-Modelines erlauben Codeausführung

Im Texteditor VIM wurde eine Sicherheitslücke gefunden, bei der ein speziell präpariertes Dokument Code ausführen kann. Die dafür genutzte Funktion der Modelines ist nur auf manchen Systemen aktiv.

Artikel veröffentlicht am ,
Nicht unbedingt der Ort, an dem man eine Sicherheitslücke erwartet: der Editor VIM.
Nicht unbedingt der Ort, an dem man eine Sicherheitslücke erwartet: der Editor VIM. (Bild: VIM-Logo + Quellcode)

Texteditoren gehören nicht gerade zu den Tools, bei denen man gravierende Sicherheitslücken erwartet. Doch ein Sicherheitsforscher hat jetzt im Texteditor VIM eine Lücke entdeckt, bei der mittels sogenannter Modelines eine Codeausführung erreicht werden kann. Der VIM-Fork Neovim ist ebenfalls betroffen.

Stellenmarkt
  1. heroal - Johann Henkenjohann GmbH & Co. KG, Verl
  2. InnoGames GmbH, Hamburg

Die Modelines ermöglichen es, in einem Textdokument bestimmte Einstellungen für das Editieren des jeweiligen Dokuments zu definieren. Somit kann man den Editor für jedes Dokument separat konfigurieren.

Sandbox ausgetrickst

Die Möglichkeiten sind dabei sehr vielfältig und es gibt zahlreiche gefährliche Optionen, die teilweise in einer Art Sandbox ausgeführt werden. Doch die Sandbox ließ sich austricksen. Der Bericht des Sicherheitsforschers listet mehrere Beispiele auf, wie man mittels der Modelines Kommandozeilenbefehle ausführen kann.

Dass die Modelines gefährlich sein können, war schon vorher bekannt. Manche Linux-Distributionen liefern daher VIM mit einer Konfiguration aus, die die Modelines abschaltet. Gesteuert werden kann das über das Kommando "set nomodelines" in der vimrc-Datei. Setzt man diese Konfigurationsoption nicht sind die Modelines jedoch aktiv und der Angriff ist möglich.

Der Fehler wurde in VIM Version 8.1.365 behoben, in Neovim ist der Fix in Version 0.3.6.

Auch für Notepad steht ein Sicherheitsupdate an

VIM ist übrigens nicht der einzige Editor, in dem gerade eine Sicherheitslücke gefunden wurde. Google-Mitarbeiter Tavis Ormandy schrieb vor einigen Tagen auf Twitter, dass er im Windows-Editor Notepad eine Memory-Corruption-Lücke gefunden habe. Details dazu sind bisher nicht bekannt. Nach den Richtlinien von Google's Project Zero, für das Ormandy arbeitet, hat der Hersteller Microsoft 90 Tage Zeit, einen Fix bereitzustellen, bevor Informationen zu Sicherheitslücken veröffentlicht werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. mit vielen Hardware-und Zubehörangeboten
  2. 199,99€ (Vergleichspreis 269€)
  3. (aktuell u. a. AMD Ryzen Threadripper 2920X für 399€ inkl. Versand)
  4. (u. a. Samsung Galaxy S10 128 GB für 555€ statt 599€ im Vergleich und Sony Xperia 10 21:9 64...

twothe 05. Jun 2019

strg-c-a-p-alt-i = Zeile neu formatieren und alle Fehler im Code beheben strg-c-a-p-shift...

iD0nTkn0w 05. Jun 2019

Mit securemodelines https://www.vim.org/scripts/script.php?script_id=1876 werden die...

hannob (golem.de) 05. Jun 2019

Oh, stimmt tatsächlich. Ich hatte auf meinem System in der Konfigurationsdatei einen...


Folgen Sie uns
       


Ausblendbare Kamera von Oneplus - Hands on (CES 2020)

Das Concept One ist das erste Konzept-Smartphone von Oneplus - und dient dazu, die ausblendbare Kamera zu demonstrieren.

Ausblendbare Kamera von Oneplus - Hands on (CES 2020) Video aufrufen
IT-Gehälter: Je nach Branche bis zu 1.000 Euro mehr
IT-Gehälter
Je nach Branche bis zu 1.000 Euro mehr

Wechselt ein ITler in eine andere Branche, sind auf dem gleichen Posten bis zu 1.000 Euro pro Monat mehr drin. Welche Industrien die höchsten und welche die niedrigsten Gehälter zahlen: Wir haben die Antworten auf diese Fragen - auch darauf, wie sich die Einkommen 2020 entwickeln werden.
Von Peter Ilg

  1. Softwareentwickler Der Fachkräftemangel zeigt sich nicht an den Gehältern

SpaceX: Der Weg in den Weltraum ist frei
SpaceX
Der Weg in den Weltraum ist frei

Das Raumschiff hob noch ohne Besatzung ab, aber der Testflug war ein voller Erfolg. Der Crew Dragon von SpaceX hat damit seine letzte große Bewährungsprobe bestanden, bevor die Astronauten auch mitfliegen dürfen.
Ein Bericht von Frank Wunderlich-Pfeiffer

  1. Raumfahrt SpaceX macht Sicherheitstest bei höchster Belastung
  2. Raumfahrt SpaceX testet dunkleren Starlink-Satelliten
  3. SpaceX Starship platzt bei Tanktest

Arbeit: Warum anderswo mehr Frauen IT-Berufe ergreifen
Arbeit
Warum anderswo mehr Frauen IT-Berufe ergreifen

In Deutschland ist die Zahl der Frauen in IT-Studiengängen und -Berufen viel niedriger als die der Männer. Doch in anderen Ländern sieht es ganz anders aus, etwa im arabischen Raum. Warum?
Von Valerie Lux

  1. Arbeit Was IT-Recruiting von der Bundesliga lernen kann
  2. Arbeit Wer ein Helfersyndrom hat, ist im IT-Support richtig
  3. Bewerber für IT-Jobs Unzureichend qualifiziert, zu wenig erfahren oder zu teuer

    •  /