Stabsstelle DV-Sicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-1022

[Generic/Samba] Schwachstelle in Samba 2.2.x
(2002-11-22 17:01:09.331135+00)

Quelle: http://de.samba.org/samba/whatsnew/samba-2.2.7.html

Die Samba-Version 2.2.7 behebt eine Schwachstelle in den Vorgängerversionen, die möglicherweise authentifizierten Angreifern root-Zugang auf einem Samba-Server ermöglicht.

Betroffene Systeme

Nicht betroffene Systeme

Einfallstor
Der Angreifer muß eine Paßwortänderung beim Samba-Server durchführen können. Dazu muß er das alte Paßwort eines Accounts kennen, d.h. ein anonymer Angriff dürfte i.d.R. nicht möglich sein.

Auswirkung
Wenn diese Schwachstelle von einem Angreifer ausgenutzt werden kann, ist dieser in der Lage, beliebigen Code mit root-Rechten auszuführen.

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Beim Ändern des Paßworts wird ein Puffer fester Länge verwendet, um Daten zwischenzuspeichern. Ein Angreifer, der eine geeignet formulierte Anfrage zum Ändern eines Paßwortes an einen Samba-Server schickt, ist möglicherweise in der Lage, über diesen Pufferüberlauf beliebigen Programmcode mit root-Rechten auszuführen. Da der Pufferüberlauf beim Dekodieren der Daten mit dem alten Paßwort auftritt, ist es offenbar für einen erfolgreichen Angriff notwendig, das alte Paßwort (und natürlich den Account-Namen) zu kennen. Anonyme Angriffe sind somit nicht möglich.

Gegenwärtig sind keine konkreten Angriffe für diese Schwachstelle bekannt.

Gegenmaßnahmen

(fw)

Weitere Artikel zu diesem Thema:

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=1022