Fehler im Concurrent Versions System gefährdet Clients

Im Concurrent Versions System (CVS) sind jeweils eine Sicherheitslücke im Server und im Client enthalten. Nutzt ein Server die Lücke im Client aus, kann er beliebige Dateien dort erzeugen oder überschreiben. Schuld ist die fehlerhafte Überprüfung der Pfadnamen beim Checkout oder Update über ein Netzwerk. Allerdings muss ein Anwender sich mit einem manipulierten Server verbinden.

Durch den Fehler im Server sind authentisierte Benutzer in der Lage, beliebige RCS-Dateien (Revision Control System) außerhalb des CVS-Wurzelverzeichnisses einzusehen. Betroffen sind alle Version von CVS. Die Fehler sind in der aktualisierten Version 1.11.15 stable sowie 1.12.7 development behoben. Die Linux-Distributoren und FreeBSD haben bereits aktuelle Pakete zum Download bereit gestellt. Allerdings ist laut Advisories in einigen Distributionen nur der Fehler im Client beseitigt worden.

CVS und RCS sind Systeme zum Bearbeiten und Verwalten verschiedener Versionsstände von Dateien und werden meist zur Entwicklung in Softwareprojekten eingesetzt. Ein Check-in/Check-out-System sorgt dabei für den kontrollierten Zugriff. Anders als RCS können bei CVS mehrere Benutzer gleichzeitig auf eine Datei zugreifen. CVS bietet zusätzlich eine direkte Netzwerkunterstützung an, die aber bei RCS über NFS oder Samba-Shares nachgebildet werden kann. CVS war in früheren Versionen ein Wrapper um RCS. Seit einigen Jahren ist CVS ein eigenständiges Projekt, benutzt aber immer noch eine RCS-Dateistruktur.

Siehe dazu auch: (dab)

• Security Advisory auf CVSHome.org