Sun schließt Lücke in Portable-API für Solaris 10

Sun hat ein Sicherheitsupdate für Solaris 10 veröffentlicht, das Angreifern eine Möglichkeit zur Erhöhung ihrer Zugriffsrechte nehmen soll. So steckt laut eines Fehlerberichts von iDefense in der Netscape Portable Runtime(NSPR) API ein Fehler, mit dem nicht-privilegierte Anwender Log-Dateien mit Systemrechten schreiben können. Darüber ließen sich beliebige andere Dateien auf dem System löschen oder erzeugen und so eventuell Root-Rechte erlangen. Betroffen ist NSPR 4.6.1, ab 4.6.2 ist der Fehler behoben, aktuell ist Version 4.6.3. Ob andere Hersteller ebenfalls die NSPR im Lieferumfang haben, ist unbekannt.

NSPR ist eine plattform-unabhängige API für System- und libc-ähnliche Funktionen, die ursprünglich von Netscape entwickelt wurde. Unter anderem nutzt Mozilla und weitere Software von Netscape beziehungsweise AOL und iPlanet's die API.

Siehe dazu auch: (dab)

• Security Vulnerability in the Netscape Portable Runtime (NSPR) API Affects Solaris, Fehlerbericht von Sun
• Sun Microsystems Solaris NSPR Library Arbitrary File Creation Vulnerability, Fehlerbericht von iDefense