Filter des Proxy JunkBuster lässt sich manipulieren

Gentoo hat in JunkBuster, einem freien HTTP-Proxy zum Filtern unerwünschter Inhalte und zum Blockieren bestimmter Browser-Daten, zwei Sicherheitslücken gemeldet. Ein Angreifer kann darüber die Filtereigenschaften des Proxy manipulieren oder ihn zum Absturz bringen. Prinzipiell könnte ein Angreifer darüber auch eigenen Code ausführen, so der Linux-Distributor in seinem Advisory. Die aktualisierten Pakete beseitigen die Schwachstellen.

Mit präparierten URLs (http://[host]?a?a?[REFERRER]) lässt sich das Filtern von Referern im HTTP-Header abschalten oder modifizieren. Normalerweise sollte Junkbuster Referer, also die Angabe der Seite, die zur aktuellen Seite geführt hat, blockieren, um die Privatsphäre des Anwenders zu schützen. Der in der Funktion ij_untrusted_url() zu findende Fehler tritt allerdings nur auf, wenn der Proxy im Single-threaded Mode arbeitet. Die zweite Lücke beruht auf einem Heap Overflow, nähere Angaben hierzu gibt es derzeit nicht.

Siehe dazu auch: (dab)

• JunkBuster: Multiple vulnerabilities, Fehlerbericht von Gentoo