UPDATE: DFN-CERT-2012-2021 Schwachstelle in FTP-Client [Unix][AIX]

- 12. Februar 2013

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 1.0 (23.10.2012):
Neues Advisory
Version 2.0 (12.02.2013):
Die Liste der betroffenen Systeme wurde vom Hersteller aktualisiert.

Betroffene Software:

Paket ftp

Betroffene Plattformen:

IBM AIX 6.1
IBM AIX 7.1

Eine Schwachstelle im FTP-Client von IBM AIX ermöglicht einem Angreifer
Lesebeschränkungen zu umgehen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://aix.software.ibm.com/aix/efixes/

CVE-2012-4845: Schwachstelle im FTP-Client von IBM AIX

Aufgrund von Konflikten zwischen ‘setuid’ und RBAC (Role-based Access
Control) beim Ausführen des FTP-Clients von IBM AIX in den Versionen 6.1 und
7.1 ist es diesem erlaubt Dateien zu lesen, welche dem Benutzer ‘ftp’ nicht
erlaubt sind zu lesen. Dies ermöglicht einem lokalen Angreifer lesenden
Zugriff auf Dateien zu erlangen, welche nur von dem Benutzer ‘root’ gelesen
werden können.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-2021/

Das Hersteller Advisory:
http://aix.software.ibm.com/aix/efixes/security/ftp_advisory1.asc

Schwachstelle CVE-2012-4845:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4845