Baustelle Apple QuickTime/Darwin Streaming Server
Mehrere Sicherheitslöcher wurden im Apple QuickTime/Darwin Streaming Server gefunden
Rapid7 veröffentlicht in einem Advisory mehrere Schwachstellen in den Versionen 4.1.3e, 4.1.3f und Version 4.1.3g des Apple Quick Time/Darwin Streaming Servers. Einige davon sollen den Server zum Stillstand bringen, andere können zum Anschauen von Quellcode benutzt werden. Der Darwin Streaming Server ist der Open-Source-Zweig des kommerziellen QuickTime Streaming Servers und wurde bereits für verschiedene Plattformen portiert, zum Beispiel Windows, Linux, Solaris und Mac OS X.
Win32-Portierungen sind, der Meldung nach, hauptsächlich von den Sicherheitslöchern betroffen. Ein simples
GET /AUX HTTP/1.0
reicht schon, um einen erfolgreichen Denial-of-Service-Angriff durchzuführen. Offenbar führt die Portierung auf andere Betriebssysteme zu unerwünschten Effekten. AUX ist eigentlich ein DOS-Gerätename, dessen Verwendung selbst den IE 6 zum Absturz bringt.
Ăśber das CGI-Skript parse_xml.cgi darf man sich alle Dateien im Wurzelverzeichnis des Webservers ansehen:
/parse_xml.cgi?filename=<irgendeinedatei>
Dieser Fehler soll auf allen Plattformen vorzufinden sein, hat also seinen Ursprung im Quellcode des Herstellers.
Apple ist bereits informiert und arbeitet an Updates. Im Original-Adivory wird empfohlen, je nach Sicherheitsloch, auf Version 4.1.3f oder 4.1.3g zu migrieren. Bei Apple kann man aber derzeit nur den Sourcecode fĂĽr Version 4.1.3f bekommen, so steht es zumindest im Tarball. (dab)
