Durch einen Fehler bei der Verarbeitung von Zieldateinamen kann beim Download einer Datei von einen FTP-Server die Datei ausserhalb des gewählten lokalen Verzeichnisses abgelegt werden.

Betroffene Systeme

• wget bis Version 1.8.4
• OpenBSD 3.0 FTP
• Solaris 2.6, 7
• möglicherweise andere FTP-Clients

Nicht betroffene Systeme

• Red Hat 7.1
• Debian 2.4.16
• Win NT SP5 command line
• Win XP command (ohne SP)
• lftp 2.6.2
• NcFTP 3.1.4
• Lynx 2.8.1
• Systeme, die mit entsprechenden Vendor-Patches zur Behebung der Schwachstelle versehen sind, die aber i.d.R. nicht die Versionsnummer ändern.

Einfallstor
Download einer Datei von einem FTP-Server.
Bei wget auch: Download von einem HTTP-Server, der auf einem FTP-Server umleitet.

Auswirkung
Anlegen/überschreiben beliebiger Dateien mit den Rechten des Anwenders (z.B. Login-Skripte) und dadurch mittelbar Ausführen beliebigen Programmcodes

Typ der Verwundbarkeit
Unerlaubter Verzeichniswechsel (directory traversal vulnerability)

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Durch einen Fehler bei der Verarbeitung von Zieldateinamen kann beim Download einer Datei über einen FTP-Server die Datei ausserhalb des gewählten lokalen Verzeichnisses abgelegt werden. Der Client überprüft dabei nicht oder nur unzureichend, ob der Quelldateiname relative oder absolute Pfadangaben enthält. Falls eine Datei z.B. den Namen ../test.txt trägt, werden die ersten drei Zeichen des Dateinamen nicht unterdrückt, was dazu führt, dass die Datei ein Verzeichnis höher mit dem Namen test.txt abgelegt wird. Dadurch können beliebige Dateien, auf die der Anwender schreibend Zugriff hat, überschrieben werden.

Gegenmaßnahmen

• Sun stellt keine Bugfixes zur Verfügung, da sie der Meinung sind, dieses Verhalten sei beabsichtigt. Dennoch empfehlen sie folgendes Vorgehen:
  
  • Verwendung der Nachfrageoption, so dass vor dem Überschreiben von Dateien eine Nachfrage erfolgt.
  • Verwendung des Befehls runique, der das Überschreiben von Dateien durch das solariseigene ftp-Programm verhindern soll.
  • Soweit moeglich, den Download von Daten als user root vermeiden.
• SGI stellt in naher Zukunft Patches zur Verfügung.
• Für wget steht ein Patch von Red Hat zur Verfügung, welcher auch bei anderern Distributionen eingespielt werden kann.

Vulnerability ID

• CAN-2002-1344
• CAN-2002-1345

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/