Im SSL-Tunnel-Programm stunnel sind mehrere format string bugs entdeckt worden.

Betroffene Systeme

• Systeme, die stunnel verwenden und das Programm mit den Optionen "-n smtp", "-n pop" oder "-n nntp" aufrufen.

Einfallstor
Serverantworten auf Anfragen von stunnel. Nur das Tunneln in den speziellen SMTP- POP3-, und NNTP-Modi kann als Einfallstor genutzt werden.

Auswirkung
Ein Angreifer, der Kontrolle über den mit stunnel kontaktierten Server hat, kann beliebigen Code mit den Rechten des Benutzers ausführen, der stunnel aufrief.

Typ der Verwundbarkeit
format string bug

Gefahrenpotential
hoch bis sehr hoch (wenn administrative Accounts stunnel verwenden).
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
stunnel, ein Programm, mit dem TCP-Verbindungen über SSL getunnelt werden können, besitzt neben den protokollunabhängigen Funktionen auch protokollspezifische Modi (die auf Protokollbesonderheiten wie die STARTTLS-SMTP-Erweiterung eingehen). In dieser besonderen Betriebsart werden über das Netz erhaltene Daten angezeigt. Im dafür zuständigen Code ist ein format string bug enthalten. Ein Angreifer kann deshalb beliebigen Code mit den Rechten des Benutzers ausführen, der stunnel aufruft, sofern er Kontrolle über den kontaktierten Server erlangt oder die Netzverbindung zu diesem geeignet manipulieren kann. Da der Fehler noch vor dem SSL-Handshake auftritt, benötigt der Angreifer keinen Zugriff auf den geheimen Schlüssel des kontaktierten SSL-Servers.

Gegenmaßnahmen

• Upgrade auf stunnel 3.22.
• Installation eines Patches für stunnel 3.21c.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/