Diverse Schwachstellen im Programm mail und mailx ermöglichen es lokalen Benutzern, Mail anderer Nutzer einzusehen und zu verändern.

Betroffene Systeme

• Praktisch alle UNIX- UNIX-ähnlichen Systeme.

Typ der Verwundbarkeit
buffer overflow bugs und weitere Schwachstellen.

Beschreibung
Das RUS-CERT nimmt die neuste Schwachstelle in Solaris mail (Georgi Guninskis Advisory Nr. 46) zum Anlaß, auf die generelle Problematik mit /bin/mail, /usr/bin/mail bzw. /usr/bin/mailx hinzuweisen. In diesen beiden Programmen tauchten in der Vergangenheit immer wieder Schwachstellen auf, die problematisch sind, da mail und mailx auf den meisten Systemen setgid mail installiert ist und ein lokaler Angreifer diese Schwachstellen ausnutzen kann, um Rechte der Gruppe mail zu erlangen und schließlich fremde Mailboxen zu lesen und zu verändern.

Heutzutage wird mail fast ausschließlich verwendet, um Mail zu verschicken, nicht um Mail auf dem lokalen Systemen zu lesen. Für das Verschicken benötigt mail jedoch keine besonderen Privilegien. Nur wenn mail zum Lesen verwendet wird, muß mail im Verzeichnis mit den Mailboxen Lockfiles anlegen und braucht daher Rechte der Gruppe mail. Da die Mailreader-Funktionalität von mail nur sehr, sehr selten genutzt wird, ist es empfehlenswert, das setgid-Bit zu entfernen. (Analoges gilt für mailx, auf manchen Systemen sind die Programme sogar identisch.)

Gefahrenpotential
mittel bis hoch (Das Einsehen und die Manipulation von Mailboxen ist möglich.)
(Hinweise zur Einstufung des Gefahrenpotentials.)

Gegenmaßnahmen

• Entfernen des setgid-Bits von /bin/mail bzw. /usr/bin/mail:

  $ su
  Password: 
  # which mail
  /usr/bin/mail
  # chmod 0755 /usr/bin/mail
  # exit
  $ 
  

• Wiederholung der Prozedur für /usr/bin/mailx, falls vorhanden.

Weitere Information zu diesem Thema

• BUGTRAQ-Artikel zu einer Schwachstelle in Solaris mailx.
• Daraus entwickelte sich eine Diskussion, warum Mailreader unter UNIX-Systemen Rechte der Gruppe mail benötigen.
• Ein exemplarisches Debian-Advisory zu mailx.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/