Login
Login-Name Passwort


 
Newsletter
Werbung

Do, 31. August 2000, 09:43

Software::Security

Sicherheitslücken in mehreren Programmen

Sicherheitslücken wurden von verschiedenen Distributoren in ld.so, xpdf, faxrunq und dem Helixcode-Preinstaller gefunden.

Caldera meldet ein Problem in ld.so, dem dynamischen Programmlader von Linux. Dieses Programm benutzt einige Umgebungsvariablen, die aber ignoriert werden, wenn ein normaler Benutzer ein Programm mit gesetztem SUID-Bit startet. Ein Bug in ld.so führt jedoch dazu, daß diese Variablen nicht in allen Fällen ignoriert werden, so daß ein normaler Benutzer bei entsprechender Konfiguration Root-Rechte erlangen kann. Ein Update ist verfügbar. Alle anderen Distributionen sind ebenso betroffen. ld.so ist Bestandteil des glibc-Pakets, so daß das ganze Paket aktualisiert werden muß. Auch Mandrake hat bereits ein Update.

Der go-gnome Pre-Installer von Helixcode verwendet einige vorhersagbare Dateinamen im /tmp-Verzeichnis, so daß ein bösartiger Benutzer theoretisch dafür sorgen kann, daß beliebige Systemdateien überschrieben werden, indem er symbolische Links mit diesen Namen anlegt. Ein Update ist verfügbar.

Der PDF-Betrachter xpdf hat ein ähnliches, wenn auch kaum "nutzbares" Problem. Ferner hat er ein Problem mit URL-ähnlichen Links in Dokumenten, die ohne weitere Prüfung an ein externes Programm übergeben werden können. Auch hier ist schwer vorstellbar, daß dieses Problem ausgenutzt werden könnte. Updates sind von Mandrake verfügbar.

Das Programm faxrunq im Paket mgetty hat ein ähnliches Problem wie go-gnome, wie Caldera bekanntgab. In der Standardeinstellung wird das Programm nicht verwendet; Updates sind verfügbar. Andere Distributionen könnten ebenfalls betroffen sein.

Für das xchat-Problem (wir berichteten) haben nun auch Mandrake, Debian und Helixcode Update bereitgestellt.

Red Hat hat eine verbesserte Lösung des Problems mit suidperl und mailx freigegeben. Auch Debian hat einen Update eines Updates: Die aktualisierte Version von ntop (wir berichteten) hatte immer noch Sicherheitslücken. Ein neues Update ist verfügbar.

Werbung
Pro-Linux
Pro-Linux @Facebook
Neue Nachrichten
Werbung