Open Source im professionellen Einsatz

Das Insecurity Bulletin widmet sich aktuellen Sicherheitslücken sowie Hintergründen und Security-Grundlagen. Sie können das Bulletin per RSS-Feed abonnieren.

SSL/TLS: Poodle-Attacke gegen SSL 3.0

21.10.2014 10:50
Verschlüsselte Verbindungen kommen heute fast überall im Internet zum Einsatz, wenn es um einen geschützten Kommunikationskanal geht. Dafür wird heute standardmäßig TLS (Transport Layer Security) verwendet, das der Nachfolger von SSL (Secure Sockets Layer) ist. Bei TLS gibt es wiederum verschiedene Versionen (1.0 siehe RFC2246, 1.1 siehe RFC4346, 1.2 siehe RFC5246). Die meisten TLS-S...

File-Schwachstelle erlaubt Denial-of-Service-Attacke

13.10.2014 07:10
Eine Sicherheitslücke in dem file-Tool hat zur Folge, dass ein entfernter Angreifer Denial-of-Service-Attacken durchführen kann. Das file-Programm dient dazu den Typ von Dateien zu bestimmen. Ursache der Sicherheitslücke ist ein Integer-Overflow-Fehler in der cdf_read_property_info()-Funktion in der cdf.c-Datei. Hier kann die q-Variable überlaufen: q = (const uint8_t *)(const void *)...

Schwache Kernel Zufallszahlen vereinfachen TCP-Hijacking

07.10.2014 08:57
Eine Sicherheitslücke in dem Linux Kernel hat zur Folge, dass ein entfernter Angreifer TCP-Hijacking-Attacken einfacher durchführen kann. Das Problem besteht darin, dass der Kernel Random Seeds im entsprechenden Programmcode nicht richtig initialisiert. Dadurch sind einige Zahlenwerte des Kernels leichter vorhersagbar. Dazu gehört auch die TCP Sequence Nummer, wodurch ein Angreifer d...

Shellshock: Gravierende Sicherheitslücke in Bash

07.10.2014 08:46
In der Bash wurden kürzlich fünf Schwachstelle binnen weniger Tage gefunden (CVE-2014-6271,CVE-2014-6277,CVE-2014-7169,CVE-2014-7186,CVE-2014-7187). Sie haben unter anderem zur Folge, dass ein Angreifer Befehle mit höheren Rechten ausführen kann. Das Problem tritt beim Verarbeiten von Umgebungsvariablen auf. Umgebungsvariablen kommen bei zahlreichen Anwendungen ständig zum Einsatz, w...

Mehrere Sicherheitslecks in D-Bus korrigiert

24.09.2014 16:44
In D-Bus wurden mehrere Sicherheitslücken entdeckt. Ein lokaler Angreifer kann hierdurch höhere Rechte auf dem System erlangen und Denial-of-Service-Attacken durchführen. Ein erstes Problem tritt beim Verarbeiten des »max_message_unix_fds«-Limits auf.  Ist dieses auf eine ungerade Zahl gesetzt so kann ein lokaler Angreifer mit Hilfe eines speziellen Datei-Deskriptors einen Heap-...

Schwachstelle in Squid

15.09.2014 14:30
Eine <a href="http://securitytracker.com/id/1030838">Sicherheitslücke</a> in dem Squid-Proxy hat zur Folge, dass ein entfernter Angreifer Befehle auf dem betroffenen System ausführen kann. Die Attacke ist mit Hilfe eines geschickt konstruierten UDP-SNMP-Datenpaketes möglich, welches der Angreifer an den Squid-Dienst sendet. Der verantwortliche Programmierfehler...

Procmail

08.09.2014 13:25
Eine Sicherheitslücke in Procmail hat zur Folge, dass ein entfernter Angreifer Denial-of-Service-Attacken durchführen kann. Das Problem tritt beim Verarbeiten speziell präparierter Mails auf. Hier kann es dazu kommen, dass das formail-Programm einen Heap Overflow auslöst. Dieser führt dann dazu dass das Programm und damit Procmail abstürzt. Ein Angreifer kann diese Attacke ausnutzen...

Ausgabe 11/2014

Digitale Ausgabe: Preis € 6,40
(inkl. 19% MwSt.)

Artikelserien und interessante Workshops aus dem Magazin können Sie hier als Bundle erwerben.

Insecurity Bulletin

Insecurity Bulletin

Im Insecurity Bulletin widmet sich Mark Vogelsberger aktuellen Sicherheitslücken sowie Hintergründen und Security-Grundlagen. mehr...

Linux-Magazin auf Facebook