EnGarde Secure Linux loggt SSH-Passwörter
Durch eine Sicherheitslücke im Guardian Digital WebTool, Bestandteil von EnGarde Secure Linux, werden die SSH-Passwörter der Anwender mitprotokolliert.
Durch eine Sicherheitslücke im Guardian Digital WebTool, Bestandteil von EnGarde Secure Linux, werden die SSH-Passwörter der Anwender mitprotokolliert. Über das WebTool haben Anwender die Möglichkeit, via Browser ihre eigenen SSH-Schlüssel zu generieren. Dabei wird die Passphrase allerdings über HTTP GET statt HTTP POST übermittelt, was dazu führt, dass sie in der aufgerufenen URL in /var/log/userpass.log protokolliert wird. Sie kann dann von lokalen Nutzern ausgelesen werden, sofern diese Leserechte für die entsprechende Datei haben.
Betroffen sind EnGarde Secure Community 2 und EnGarde Secure Professional v1.5. Guardian Digital stellt ein Update bereit, das dieses Problem behebt. Das Update kann durch den Besuch der WebTool-Konfiguration-Seite eingespielt werden.
Siehe dazu auch: (pab)
