Novell korrigiert Verzeichnisdienst eDirectory
Über die behobenen Schwachstellen in Novelles Verzeichnisdienst können Angreifer unter Umständen übers Netz die vollständige Kontrolle über verwundbare Systeme übernehmen.
- Christiane RĂĽtten
Der Software-Hersteller Novell liefert für seinen Verzeichnisdienst eDirectory dringende Sicherheitsupdates aus. Der Patch 8.7.3.8 FTF1 für die 8.7er-Serie behebt eine Sicherheitslücke im Webinterface iMonitor, über die Angreifer übers Netz unter Umständen die vollständige Kontrolle über verwundbare Systeme übernehmen können. Die verantwortliche Schwachstelle in der Funktion BuildRedirectURL() bestätigte Novell für eDirectory Version 8.7.3.8 und 8.8.1, möglicherweise sind aber auch ältere Versionen betroffen.
Der Patch 8.8.1 FTF1 für die 8.8er-Serie behebt zusätzlich zur iMonitor-Lücke drei kritische Programmierfehler, die Angreifer ebenfalls unter Umständen zum Kapern eines verwundbaren eDirectory-Servers nutzen können: einen Heap-Overflow bei der Verarbeitung von NCP-Paketen, sowie einen Integer-Overflow und eine Double-Free-Lücke in der Funktion evtFilteredMonitorEventsRequest().
eDirectory-Admins sollten die Patches umgehend gemäß der Anleitungen in den Novell-Advisories einspielen. Besonders kritisch sind die Schwachstellen bei Servern, die aus dem Internet erreichbar sind, da Angreifer zum Ausnutzen der Lücken keine besonderen Zugangsberechtigungen zum Verzeichnisdienst benötigen.
Siehe dazu auch: (cr)
- eDirectory Post 8.7.3.8 FTF1 HTTPSTK, Advisory von Novell
- eDirectory Post 8.8.1 FTF1 for Linux\Unix, Advisory von Novell
- eDirectory Post 8.8.1 FTF1 for NW & Win32, Advisory von Novell
