bk99.de entertain the web since 1997

bk99.de
g · SicherheitKuratiert

Sicherheitslücke in Red Star OS entdeckt

Zusammenfassung

Der Sicherheitsforscher David Jorm fand im Januar 2015 die erste Lücke in Nordkoreas Linux-Distribution Red Star OS 3.0. Die udev-Regeldatei 85-hplj10xx.rules war von allen Benutzern beschreibbar, sodass jeder eine Regel mit beliebigen Befehlen eintragen konnte. udev führte sie mit Root-Rechten aus, sobald ein passender HP-LaserJet-Drucker (oder nach Anpassung ein beliebiges USB-Gerät) angeschlossen wurde.

Ideen

  • Eine falsch gesetzte Dateiberechtigung genügte für Rechteausweitung.
  • udev führt Regeln beim Einstecken von Geräten mit Root-Rechten aus.
  • Das Anschließen eines USB-Geräts wird so zum Auslöser eines Angriffs.

Einsichten

  • Konfigurationsdateien für Root-Dienste sind so schützenswert wie Programme selbst.
  • Auch ein staatlich kontrolliertes System scheitert an Grundfehlern der Rechtevergabe.

Fakten

  • Die Lücke wurde auf der Mailingliste oss-security veröffentlicht.
  • Betroffen war die Datei 85-hplj10xx.rules.
  • In Red Star OS 2.0 war sogar das Startskript /etc/rc.d/rc.sysinit für alle beschreibbar.

Referenzen

Kritik

  • Die Meldung bewertet nicht, ob die Fehler Nachlässigkeit sind oder bewusst offene Zugänge.

Empfehlungen

  • Prüfe regelmäßig, dass Dateien unter /etc nicht für alle beschreibbar sind, etwa mit find -perm -o+w.
  • Setze Werkzeuge wie AIDE ein, um Änderungen an Systemkonfigurationen zu erkennen.

Originalartikel lesen →

Im Webarchiv suchen

g · 2023

Sicherheitslücke in SugarCRM-Servern wird aktiv ausgenutzt

Angreifer nutzten Anfang 2023 eine kritische Lücke in SugarCRM (CVE-2023-22952), um Server zu übernehmen und Schadsoftware zu installieren. Über den Pfad /index.php/ ließ sich die Authentifizierung umgehen, danach lud ein POST-Request eine PNG-Datei mit PHP-Code hoch, die bei späterem Abruf ausgeführt wurde. Censys fand bis zum 11. Januar 354 kompromittierte Server, knapp zwölf Prozent aller 3059 erreichbaren Instanzen.

g · 2020

Die Tricks mit der Google-Sicherheitslücke

Trend Micro fand Anfang 2020 Schad-Apps im Google Play Store, die eine Android-Lücke ausnutzten, die zuvor bereits von Kunden des Spyware-Herstellers NSO verwendet worden war. Google hatte die Lücke rund anderthalb Jahre vorher selbst entdeckt. Die Apps Camero und Filecrypt Manager dienten als Dropper und installierten unbemerkt die Spionage-App Callcam.

g · 2017

BSI warnt vor Sicherheitslücke in 60 Netgear-Modellen

Das BSI warnte im Januar 2017 vor einer Lücke in rund 60 Netgear-Routermodellen, über die Angreifer das Passwort der Weboberfläche auslesen konnten. Ausnutzbar war sie, wenn die Passwortwiederherstellung deaktiviert war und der Angreifer im selben Netz saß oder die Fernverwaltung aktiv war. Das BSI stufte das Risiko mit Stufe 5 ein, ohne klar zu erklären, was das bedeutet.