Update beseitigt Lücke in Anonymisierungsdienst Tor

Die Version 0.1.2.16 der Anonymisierungssoftware Tor beseitigt eine Sicherheitslücke, die es entfernten Angreifern unter Umständen erlaubt, die Konfigurationsdatei (torrc) des Benutzers zu manipulieren: Laut den Entwicklern kann die Lücke die Anonymität der Benutzer verletzen. Betroffen sind danach die meisten Konfigurationen, insbesondere solche, die Tor über grafischen Oberflächen wie Vidalia oder TorK steuern.

Die grafischen Oberflächen steuern den lokalen Tor-Dienst über das Tor-Control-Protokoll (TC), das Kommandos für den Anonymisierungsdienst am lokalen Port 9051 entgegennimmt. Tor schließt nach einer fehlenden Authentifizierung nun solche Verbindungen und erlaubt nur noch einen Anmeldeversuch. Laut Release-Notes sind Tor-Installationen von der Lücke nicht betroffen, die in der Datei torrc den Parameter ControlPort ausgeschaltet haben. Die Entwickler empfehlen ausdrücklich ein Update auf die neue Version ihrer Software, die ab sofort auf der Projekt-Website zum Download bereitsteht.

Für Benutzer von Vidalia, einem Programmpaket aus der grafischer Oberfläche und dem Tor-Dienst, steht ein neue Version für Mac OS X bereit. Windows-Benutzern empfehlen die Entwickler entweder auf ein kommendes Vidalia-Paket zu warten oder die aktuelle Tor-Software und die grafische Oberfläche Vidalia jeweils einzeln zu installieren.

Siehe auch:

• Neue Tor-Version: sicherer und anonymer
• Anonymisierungsnetze über gefälschte Routing-Daten angreifbar
• 23C3: Tor-Gründer beklagt staatlichen "Diebstahl" von Anonymisierungsservern

(rek)