Symantecs AntiSpam-Produkt Brightmail enthält statisches Passwort
Mit Kenntnis dieses Kennwortes ist es Angreifern möglich, auf die Datenbank zuzugreifen und die Konfiguration sowie Mails auszulesen.
Symantec berichtet in einem Security Advisory von einem fest einprogrammierten, statischen Datenbank-Administrationspasswort in seinem Antispam-Produkt Brightmail. Mit Kenntnis dieses Kennwortes sei es Angreifern möglich, auf die Datenbank zuzugreifen und die Konfiguration sowie Mails auszulesen -- allerdings handelt es sich wohl ausschließlich um Spam-Mails.
Betroffen sind nur Versionen vor 6.0 und solche Installationen, die von einer älteren Version auf 6.0 aktualisiert wurden. Das Update 6.0.2 behebt die Schwachstelle, indem das statische Passwort gelöscht und stattdessen zur Installation ein zufälliges erzeugt wird. Zudem ist fortan der Zugriff auf die Datenbank nur noch localhost gestattet.
Siehe dazu auch: (dab)
- Symantec Brightmail AntiSpam Static Database Password Fehlerreport von Symantec
