Lücken in Versionsverwaltungssystem Subversion geschlossen
Nach Angaben der Entwickler kann ein Client mit Commit-Rechten einen Server kompromittieren. Im Gegenzug kann der Server Code auf dem Client ausführen, wenn dieser ein Checkout oder ein Update startet.
- Daniel Bachfeld
Eine neue Fassung des Versionsverwaltungssystemen Subversion behebt Sicherheitslücken in den Client- und Serveranwendungen, durch die Angreifer die Kontrolle über ein System übernehmen könnten. Ursache der Probleme sind mehrere Heap Overflows in der Bibliothek libsvn_delta, die beim Parsen von Differenzdaten-Strömen (Binary Deltas) auftreten. Nach Angaben der Entwickler kann ein Client mit Commit-Rechten die Fehler auf dem Server provozieren, im Gegenzug der Server die Überläufe auf einem Client verursachen, wenn dieser ein Checkout oder ein Update startet.
Betroffen ist Subversion bis einschließlich 1.5.6 sowie von 1.6.0 bis einschließlich 1.6.3 Die Entwickler haben die Updates auf Subversion 1.6.4 und 1.5.7 vorgelegt, in denen die Fehler korrigiert sind. Die Linux-Distributoren verteilen bereits neue Pakete. Zudem steht ein Patch im Quellcode zur Verfügung.
Der Fehler steht im Zusammenhang mit einem Integer Overflow in der Apache Portable Runtime (APR), auf die Subversion zurückgreift. Für APR stehen Patches von der Apache Foundation bereit.
Siehe dazu auch
- Subversion clients and servers up to 1.6.3 (inclusive) have heap overflow issues in the parsing of binary deltas, Bericht von Subversion
(dab)
