Einige Versionen von Vixie Cron besitzen ein erhebliches Sicherheitsloch.

Betroffene Systeme

• Debian GNU/Linux 2.2 (potato)
• Mandrake 7.1, 7.2, 8.0, Corporate Server 1.0.1
• Weitere Systeme, die das Problem, das letzten Herbst bekannt wurde, nicht korrekt behoben.

Typ der Verwundbarkeit
Fehler in der Behandlung erhöhter Privilegien beim Bearbeiten von crontab-Dateien.

Beschreibung
Im Herbst 2000 wurde eine Schwachstelle in der cron-Implementation von Paul Vixie entdeckt. Da diese seit geraumer Zeit nicht mehr zentral gefplegt wird, entwickelten verschiedene Distributoren unabhängig voneinander für dieses Problem. Einige Entwickler (bei Debian GNU/Linux und möglicherweise weiteren Distributionen) bauten dabei aus Versehen eine weitere Schwachstelle ein, die es lokalen Benutzern ermöglicht root-Rechte zu erlangen.

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

• Unter Debian: Installation von cron_3.0pl1-57.3.

Weitere Information zu diesem Thema

• Aktuelles Mandrake-Advisory.
• Debian-Advisory zum ursprünglichen Problem.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/