Ein Fehler im "which"-Kommando von Majordomo wird ausgenutzt, um die Teilnehmeradressen von Mailinglisten zu sammeln. Dieser Umstand kann dazu führen, dass Mailinglistenbetreiber gegen Datenschutzbestimmungen verstoßen. Dies gilt dann, wenn Listenteilnehmer von einer derartigen Veröffentlichung personenbeziehbarer Daten (i.a. ihre E-Mail-Adressen) betroffen sind ohne ihre Zustimmung zur Veröffentlichung gegeben zu haben.

Betroffene Systeme

• Systeme, die Majordomo 1.94.x einsetzen.

Einfallstor
E-Mail-Nachricht mit Majordomo-Anfrage

Auswirkung
Die Adressen der Mailing-Listen-Teilnehmer können sichtbar gemacht werden.

Typ der Verwundbarkeit
information leak

Gefahrenpotential
niedrig bis mittel (siehe aber die Beschreibung)
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Das "which"-Kommando des Mailinglisten-Managers Majordomo erlaubt es, zu einer E-Mail-Adresse die abonnierten Mailinglisten aufzuführen. Falls als Argument lediglich ein einziges häufig in Mailinglisten auftretendes Zeichen ("@" funktioniert) angegeben wird, läßt sich auf diese Weise eine Liste von Teilnehmeradressen gewinnen.

Auch ohne diesen seit längerem bekannten Fehler kann Majordomo so konfiguriert werden, daß das "who"-Kommando im wesentlichen dieselben Daten liefert. Da die passive Teilnahme an einer Mailingliste üblicherweise nicht die Zustimmung zur Veröffentlichung der Adresse des Teilnehmers beinhaltet und die Veröffentlichung nicht notwendig für den ordnungsgemäßen Betrieb ist, liegt keine Rechtsgrundlage für die Veröffentlichung vor. Sie hat daher zu unterbleiben und ist durch geeignete Konfiguration zu unterbinden.

Die Schwachstelle im "which"-Kommando wird zumindest vom baden-württembergischen Landesbeauftragten für Datenschutz aktiv ausgenutzt; Betreiber solchermaßen verwundbarer Listen laufen Gefahr, daß ein formales Verfahren gegen sie eingeleitet wird.

Dieses Datenschutzproblem betrifft nicht nur öffentliche Stellen.

Gegenmaßnahmen

• Ein Patch für Majordomo 1.94.5 sollte eingespielt werden, um die zwei kritischen Kommandos "which" und "who" zuverlässig abzuschalten.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/