Altiris-PXE-Server gibt Informationen preis

Symantec hat ein Update für seine Management-Lösung Altiris veröffentlicht, um eine Schwachstelle zu beheben. Nach Angaben des Dienstleisters iDefense steckte im TFTP-Dienst eines mitgelieferten PXE-Servers eine Directory-Traversing-Lücke, mit der es möglich war, Dateien auszulesen. Da der Dienst mit Systemrechten unter Windows läuft, war so der Zugriff auf beliebige Daten möglich.

Symantec schreibt zwar in seinem Fehlerbericht, dass eine Authentifizierung notwendig sei, allerdings unterstützt TFTP gar keine Authentifizierung. Auch iDefense schreibt in seiner Beschreibung des Problems, dass keine Anmeldung erforderlich sei. Betroffen ist laut Fehlerbericht die Version 6.8.8297.48 der Datei pxemtftp.exe. Alternativ zum Update empfiehlt iDefense, den Server für das Pre-Boot Execution Environmnt (PXE) zu deaktivieren.

Siehe dazu auch:

• Altiris Deployment Solution Directory Traversal, Fehlerbericht von Symantec
• Symantec Altiris Deployment Solution TFTP/MTFTP Service Directory Traversal Vulnerability, Fehlerbericht von iDefense

(dab)