Probleme im Novell iChain Authentifizierungsserver

Ein Angreifer kann sich administrative Rechte über die Web-GUI des iChain-Server in der aktuellen Version 2.3 verschaffen, ohne das Passwort zu kennen. Der grundlegende Lapsus, der Novell hier unterlaufen ist, ist die Kommunikation zwischen dem Administrator-Client und dem iChain-Server nur bei der Übergabe des Passworts zu verschlüsseln. Sobald das Administrations-Applet geladen ist, wird der Verkehr inklusive des Authentisierung-Cookies im Klartext übertragen.

Um sich als Admin auszugeben, benutzt ein Angreifer den mitgesnifften Cookie. Dazu muss er sich vorher aber einen eigenen iChain-Server installieren und dort als Admin anmelden. In seinem Cookie tauscht er den Hash mit dem vorher mitgesnifften aus und läßt den Traffic seines iChain-Servers an den anzugreifenden weiterleiten, wo er anschließend als Admin eingeloggt ist.

Zudem ist es möglich, vertrauliche Informationen zur Konfiguration des LDAP-Servers mitzulesen, etwa Nutzername und Passwort. Ein Patch für diesen Fehler ist bisher nicht verfügbar. Novell empfiehlt, den Zugriff über Port 51100/TCP auf die Web-GUI des iChain-Servers einzuschränken. Administratoren sollten erwägen, Konfigurationsarbeiten über ein getrenntes Managementnetz durchzuführen.

Weitere Probleme wurden im Mini-FTP-Server des iChain 2.3 gefunden: Der Server limitiert fehlgeschlagene Login-Versuche nicht und kann somit per Brute Force, also durch Ausprobieren sämtlicher Möglichkeiten eines Login/Passwort-Kombinats, angegriffen werden. Novell empfielt dazu hier einen Workaround auf Betriebssystemsebene. Weiterhin wird einem eingeloggten Benutzer der absolute Pfad, in dem er sich auf dem FTP-Server befindet, offengelegt, wenn er den Befehl "pwd" eingibt. Für Novell ist dieser Fehler "low priority" und bisher nicht gefixt. Ebenso problematisch ist, dass der FTP-Server anzeigt, ob ein Username auf dem System besteht oder nicht. Somit können durch einen Wörterbuchangriff bestehende User herausgefunden werden. Wenn dann auch noch die Login-Versuche nicht beschränkt sind, kann ein Angreifer schneller mit einer funktionierenden Login/Passwort-Kombination rechnen.

Siehe dazu auch: (eck)

• Can administor an iChain server without requiring to von Novell
• iChain miniFTP server does not limit number of invalid logins von Novell
• iChain Security concern with Mini FTP Server Administration and path disclosure von Novell
• Novell iChain Mini FTP Server Valid User Disclosure Vulnerability von ISR