Mehrere Lücken in CAs ARCserve Backup für Laptops und Desktops
Über mehr als 60 Buffer Overflows kann ein Angreifer die Kontrolle über einen Management-PC übernehmen. Ein Update steht bereit.
- Daniel Bachfeld
Computer Associates weist auf mehrere Schwachstellen in der Unternehmens-Backup-Lösung ARCserve Backup for Laptops and Desktops hin. Ein Angreifer kann darüber aus der Ferne einen Management-PC unter seine Kontrolle oder zum Absturz bringen. Die Client-Installationen sind nach Angabe des Herstellers nicht betroffen. Ein Update zum Beseitigen der Fehler steht zum Download bereit.
CA erwähnt in seinem Fehlerbericht zwar nur insgesamt fünf Schwachstellen, allerdings sollen nach Angaben von iDefense allein in dem auf Port 1900 erreichbaren LGServer fast 60 Stack Overflows und Heap Overflows bei der Verarbeitung bestimmter Argumente und Befehle zu finden sein. Die meisten der Überläufe sollen das Einschleusen und Ausführen von Code mit Systemrechten ermöglichen. Darüber hinaus treten ähnliche Fehler in den Funktionen zur Authentifizierung auf. Zudem soll sich die Authentifizierung gänzlich umgehen lassen. Schließlich prüft der NetBackup-Dienst die hochgeladenen Dateien nicht auf ihre Echtheit respektive Herkunft, sodass der Upload beliebiger Daten auf den Server möglich ist.
Betroffen sind folgende Produkte unter Windows:
CA ARCserve Backup for Laptops and Desktops r11.5
CA ARCserve Backup for Laptops and Desktops r11.1 SP2
CA ARCserve Backup for Laptops and Desktops r11.1 SP1
CA ARCserve Backup for Laptops and Desktops r11.1
CA ARCserve Backup for Laptops and Desktops r11.0
CA ARCserve Backup for Laptops and Desktops r4.0
CA Desktop Management Suite 11.2
CA Desktop Management Suite 11.1
CA Desktop Management Suite 11.0
CA Protection Suites r2
Siehe dazu auch:
- CA ARCserve Backup for Laptops and Desktops Server Security Notice, Fehlerbericht von CA
- CA ARCserve Backup for Laptops and Desktops Authentication Bypass Vulnerability, Fehlerbericht von iDefense
- CA ARCServe Backup for Laptops and Desktops Multiple Buffer Overflow Vulnerabilities, Fehlerbericht von iDefense
- Multiple Vulnerabilities in CA ARCserve for Laptops & Desktops, Fehlerbericht von eEye
(dab)
