Stabsstelle Informationssicherheit der
Universität Stuttgart (RUS-CERT)
https://cert.uni-stuttgart.de
logo
Meldung Nr: RUS-CERT-330

[Linux/Kernel] FTP-Unterstützung in iptables kann Paketfilter aushebeln
(2001-04-23 14:28:31+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2001/04/msg00294.html

Durch einen Fehler in der FTP-Verbindungsverfolgung kann ein Angreifer unter Umständen den Paketfilter instruieren, beliebige TCP-Verbindungen durchzulassen.

Betroffene Systeme

Nicht betroffene Systeme

Typ der Verwundbarkeit
design flaw (Filterregeln werden aus nicht zuverlässigen Daten erzeugt.)

Beschreibung
netfilter/iptables, der Paketfilter des Linux-Kernels, unterstützt die dynamische Erzeugung von zusätzlichen Filterregeln, um Pakete durchzulassen, die mit einer bereits aufgebauten Verbindung in Zusammenhang stehen. Das ist insbesondere bei Protokollen wie FTP essentiell, bei denen eine logische Verbindung auf Netzebene aus mehreren TCP-Verbindungen besteht. Ebenjenes Modul, welches die sekundären TCP-Verbindungen bei FTP ermittelt, ist fehlerhaft, so daß der Paketfilter nicht nur Verkehr durchläßt, der logisch zu einer bestehenden FTP-Verbindung gehört, sondern weitaus mehr.

Damit der Fehler tatsächlich von einem Angreifer ausgenutzt werden kann, müssen folgende Voraussetzungen erfüllt sein:

Die Schwachstelle kann in unterschiedlichen Szenarien mißbraucht werden:

Gefahrenpotential
sehr hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

Workaround

Generelle Empfehlung zu FTP
Wegen der archaischen Aspekte von FTP, die einst z.B. dazu gedacht waren, von einem Terminal per FTP einen Host zu veranlassen, eine Datei direkt zu einem Drucker zu schicken, oder Dateien direkt zwischen FTP-Servern transferieren zu können, läßt sich das Problem nicht vollständig zuverlässig lösen. Auch wegen der Klartextübermittlung von Paßwörtern ist es empfehlenswert, zur Dateiübertragung Protokolle wie SSH zu verwenden.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/


https://cert.uni-stuttgart.de/ticker/article.php?mid=330