Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-824

[Generic/Amanda] Schwachstelle im Client- und Server-Code
(2002-05-31 14:38:07.688981+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2002/05/msg00246.html

In einer älteren, aber dennoch verbreiteten Version von Amanda (Advanced Maryland Automatic Network Disk Archiver) wurden im Server- und Client-Code Pufferüberlaufe entdeckt.

Betroffene Systeme

Einfallstor

  1. Für den Angriff auf den amindexd-Serverprozeß: TCP-Port 10082.
  2. Für die Angriffe auf die Kommandozeilenwerkzeuge: lokaler Account

Auswirkung

  1. Ein Angreifer kann úber eine Netzverbindung root-Rechte erlangen (remote root compromise).
  2. Ein Angreifer mit interaktivem Zugang zum System kann root-Rechte erlangen (local root compromise).

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential

  1. sehr hoch
  2. hoch

(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung

  1. Der amindexd-Serverprozeß verwendet einen Puffer fester Länge auf dem Stapel, um eintreffende Anfragen zu verarbeiten. Ein Angreifer kann dadurch leicht beliebigen Code mit den Rechten des amindexd-Prozesses (häufig root) ausführen.
  2. In zahlreichen Hilfsprogrammen, die das setuid-Bit gesetzt haben, ist die Kommandozeilenverarbeitung fehlerhaft; es können ebenfalls Pufferüberläufe auftreten. Ein lokaler Benutzer kann dadurch root- oder operator-Rechte erlangen.

Gegenmaßnahmen

Achtung: In Version 2.4 hat sich das Client/Server-Protokoll geändert, so daß der Umstieg nicht nach und nach geschehen kann.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=824