amiga-news.de - Erklärung von Oliver Wagner zur "Sicherheitslücke in MUI"

22.Nov.2001
VaporWare

Erklärung von Oliver Wagner zur "Sicherheitslücke in MUI"
Unter dem Titellink finden Sie ein ausführliches (englisches) Statement von Oliver Wagner (Vaporware) zu der kürzlich bekanntgewordenen "Sicherheitslücke in MUI-Programmen", in dem er die Problematik genauer erläutert und klarstellt, dass nicht nur MUI-Applikationen betroffen sind. Christoph Gutjahr hat die wichtigsten Passagen des Statements übersetzt:

Ein mit dem Internet verbundener Rechner wird dann angreifbar, wenn das APIPE: Device (oder das Device AWNPipe:, welches ähnliche Funktionalität bietet) gemountet ist (APIPE: war beispielsweise Bestandteil von AmiTCP, während AWNPipe: mit AWeb3 installiert wird).

Ist diese Voraussetzung erfüllt, gibt es grundsätzlich zwei Möglichkeiten, auf einem solchen Rechner "von außen" Programme zu starten:

A) Ein auf dem Rechner laufendes Programm wird veranlasst, ein File zu öffnen. Diese Art des Angriffs funktioniert völlig unabhängig von MUI! Möglich ist dies beispielsweise in folgenden Fällen:

Ein IRC-Client empfängt einen DCC-Request. Er überprüft mittels Open(), ob die Datei bereits existiert, z.B. um einen "Download fortsetzen?" Dialog anzubieten.
Ein Web-Browser empfängt eine Datei mittels eines Redirect Download Link und überprüft ebenfalls mit Open(), ob die Datei bereits existiert.
Ein WebBrowser empfängt einen <IMG SRC>-Tag mit einer file:/// URL.

Enthält der Datei-/Pfadname in einem der hier genannten Fälle einen APIPE: Aufruf, würde ein Angriff möglich.

Oliver Wagner beschreibt dann mehrere Möglichkeiten, wie sich ein Programm gegen solche Angriffe aus dem Netz wehren kann. Die von Vaporware gewählte Methode ist, in allen genannten Fällen die Pfad-/Dateinamen auf die Strings APIPE: und AWNPipe: zu überprüfen. Zusätzlich werden Geräte- und Pfadnamen überall dort entfernt, wo sie nicht benötigt werden.

B) Die zweite Möglichkeit, einen Rechner unter Ausnutzung von APIPE: anzugreifen, betrifft alle MUI-Progamme. Immer wenn MUI Text anzeigen soll, ist es relativ einfach, mittels Escape-Codes einen Datei-Zugriff zu erzwingen.

Um derartigen Angriffen vorzubeugen, sollte der Anwendungs-Programmierer entweder vor dem Anzeigen aller Texten, die aus dem Netzwerk empfangen werden (E-Mails bzw. E-Mail Subjects, URLs, oder die Chatbeiträge in einem IRC-Clienten) sämtliche Escape-Codes entfernen oder solchen Texten einen eigenen Escape-Code voranstellen, der das Abarbeiten weiterer Codes verhindert.

Die letzten Absätze aus Olivers Statement in deutscher Übersetzung:

"Für diese Kombination von Problemen MUI verantwortlich zu machen, ist natürlich falsch. Schuld sind die Anwendungs-Programmierer, die potentiell gefährliche Daten (d.h. alles, was aus dem Netzwerk empfangen wird) an Funktionen weiterleiten, ohne die möglichen Folgen zu bedenken... [snip] ...Wie MUIs Text Engine arbeitet, wurde bereits in den ersten Versionen von MUI erläutert.

Die oben gezeigten Zusammenhänge sind übrigens nichts Neues. Bereits vor mehreren Jahren hatte der "Finger" Daemon, der mit AmiTCP ausgeliefert wurde, das in a) beschriebene Problem, da der empfangene Benutzername mittels APIPE: and den tatsächlichen Finger Clienten weitergeleitet wurde - durch die Konstruktion eines Benutzernamens, der Backticks enthielt, war es möglich, aus der Ferne Programme auf dem Rechner auszuführen.

Ich weise noch einmal daraufhin, dass nach meinem besten Wissen keine der Vaporware Applikationen durch einen der beiden oben beschriebenen Mechanismen angreifbar ist, da die ebenfalls erwähnten Vorsichtsmaßnahmen ergriffen wurden." (ps)

[Meldung: 22. Nov. 2001, 18:41] [Kommentare: 9 - 27. Nov. 2001, 18:08]
[Per E-Mail versenden] [Druck-Version] [ASCII-Version]

< Nächste Meldung

Vorige Meldung >