Wieder Sicherheitslücken in CVS
Über sechs neue Sicherheitslücken im Versionskontrollsystem Concurrent Versioning System können Angreifer den Server zum Absturz bringen und sogar eigenen Code ausführen.
Der Sicherheitsspezialist Stefan Esser von e-matters hat ein Security Advisory veröffentlicht, das sechs neue Sicherheitslücken im Versionskontrollsystem Concurrent Versions System beschreibt, mit denen Angreifer den Server zum Absturz bringen und sogar eigenen Code auf dem System ausführen können. Esser hat die Schwachstellen zusammen mit Sebastian Krahmer vom Linux-Distributor Suse während eines Code-Audits gefunden.
Die Fehler reichen von Format-String-Schwachstellen, Integer Overflows und Null-Pointer-Dereferences bis zu Buffer Overflows. Allerdings benötigt ein Angreifer in einigen Fällen so genannten CVSROOT Commit Access -- die höchsten Zugriffsrechte --, um die Lücken auszunutzen. CSV Commit Access ermöglicht es beispielsweise Programmierern, ihren Code in einem CVS-Pfad abzulegen.
Betroffen sind CVS Feature Release bis einschließlich 1.12.8 sowie CVS Stable Release bis einschließlich 1.11.16. Auf CVSHome.org stehen noch keine aktualisierten Versionen zur Verfügung. Suse hat bereits ein eigenes Advisory herausgegeben, in dem auf aktualisierte Pakete hingewiesen wird. Anwender sollten baldigst ihre Server aktualisierten.
Auch der veröffentlichte Patch zum Stopfen der alten Sicherheitslücke in CVS war nicht ganz fehlerfrei. Bei der Analyse des Einbruchs in den CVSHome.org.-Server hat Derek Robert Price eine Schwachstelle entdeckt, die aber nach derzeitigem Kenntnisstand nur zum Absturz des Servers führen kann.
Siehe dazu auch: (dab)
- Security Advisory von Stefan Esser
- Security Advisory von Suse
