NEWS AUS DEM IT-SECURITY BEREICH

Fireglider · 02.03.2004

Microsoft verharmlost Gefahr von offenen Sicherheitslücken

[Firmen News] Microsoft: Exploits kommen erst nach Erscheinen eines Patches (http://www.golem.de/0402/29987.html) In einem Interview mit der britischen BBC erklärte ein Microsoft-Mitarbeiter, dass Exploits zur Ausnutzung von Sicherheitslücken erst erscheinen würden, nachdem Microsoft entsprechende Patches veröffentlicht habe. Das suggeriert, dass nicht bereinigte Sicherheitslücken in Software-Produkten kein Risiko darstellen, so lange kein Patch erhältlich ist. Sicherheitsexperten bezweifeln diese Aussage.

David Aucsmith, ein Microsoft-Mitarbeiter aus der Abteilung Security Business und Technology, erklärte in dem Gespräch mit der BBC, dass nach seinen Erkenntnissen nie Exploits für Sicherheitslücken in Windows vor Veröffentlichung eines Patches erschienen seien. "Wir haben niemals Sicherheitslücken-Exploits gehabt, bevor ein Patch erschienen ist", beteuert Aucsmith gegenüber der BBC. Für Aucsmith folgt daraus, dass Hacker erst nach auf Erscheinen eines Patches entsprechende Exploits schreiben, indem die Patches mittels Reverse Engineering analysiert werden.

Auf der Sicherheits-Mailingliste Full Disclosure äußern sich Experten sehr kritisch zu den Ausführungen des Microsoft-Mitarbeiters. So berichten mehrere Mailinglisten-Teilnehmer, dass im Untergrund oft bereits einen Tag nach Bekanntwerden einer Sicherheitslücke entsprechender Exploit-Code bereitstehe. Nur werde das meist nicht in die Öffentlichkeit getragen. Ein anderer Experte weist darauf hin, dass von Dritten entdeckte Sicherheitslücken aus Sicherheitsgründen in vielen Fällen erst bekannt gegeben werden, nachdem Microsoft einen passenden Patch veröffentlicht hat. Daher überrascht es auch nicht, dass die bis dahin unbekannten Sicherheitslücken nicht bereits vorher ausgenutzt werden.

Mit der von David Aucsmith gemachten Aussage will Microsoft anscheinend Windows-Anwender in Sicherheit wiegen, da demnach Sicherheitslücken erst gefährlich würden, wenn die Patches bereits erschienen sind. Somit seien Anwender vor Angriffen geschützt, wenn sie die bereitgestellten Patches einspielen, da offene Sicherheitslücken nicht vorher ausgenutzt werden. Allein ein aktuelles Beispiel widerlegt jedoch die Aussage von David Aucsmith: Der kürzlich aufgetauchte ICQ-Wurm Bizex nutzte zum Infizieren eines Systems ein Sicherheitsleck im IE (wir berichteten). Nach den Schlussfolgerungen von Aucsmith gäbe es den Wurm gar nicht, denn Microsoft bleibt einen Patch für diese Lücke bislang schuldig.

rotalarm.de

#####

Auch Wurm NetSky mutiert

[Viren & Würmer] (http://www.heise.de/security/news/meldung/45018) Nachdem nun schon der Wurm MyDoom bis zur F-Variante mutiert ist, warnen die Hersteller von Antivirensoftware vor der C-Variante des NetSky-Wurms, auch bekannt als Moodown: W32.Netsky.C@mm alias W32/Netsky.c@MM, Win32.Netsky.C, W32/Netsky-C, WORM_NETSKY.C, I-Worm.Moodown.c.

Der Wurm verbreitet sich über eine eigene SMTP-Engine. Die Absenderadresse ist wie bei allen Mass-Mailing-Würmern stets gefälscht. Die Zieladressen zum Versand findet er in diversen Dateien auf dem System. Der Wurm versendet sich als Dateianhang der Mail. Die Dateinamen variieren dabei stark. Zusätzlich kopiert sich der Wurm mit interessant klingenden Dateinamen in lokale Verzeichnisse und Verzeichnisse von Netzlaufwerken, wenn deren Namen den String shar enthält, um sich über Tauschbörsen wie Kazaa und andere zu verbreiten.

Ein Schadroutine hat der Wurm nicht, am 26. Februar versuchte er allerdings zwischen 6 und 8 Uhr morgens den PC-Lautsprecher zu Piepen zu bringen.

rotalarm.de

######

Trillian-Patches stopfen Sicherheitslücken

[online/Browser/Email] Sicherheitsleck im Yahoo-Protokoll von Trillian (http://www.golem.de/0402/29936.html) Cerulean Studios hat Patches für die Pro-Versionen sowie die kostenlose Ausführung des Instant Messengers Trillian zum Download bereitgestellt, um Sicherheitslöcher in der Software zu stopfen. Bei Verwendung der Yahoo- und AIM-Komponente in Trillian kann ein Angreifer das Sicherheitsleck missbrauchen und Programmcode auf ein System schleusen.

Das Sicherheitsleck steckt in den kostenlosen Trillian-Ausführungen ab der Version 0.71 sowie in den kostenpflichtigen Pro-Varianten 1.x und 2.x. Ein Angreifer kann darüber Programmcode auf ein System schleusen und diesen ausführen, um sich so Kontrolle über das entsprechende System zu verschaffen. Das Sicherheitsleck tritt in den Komponenten AOL-Instant-Messangin (AIM) und Yahoo auf.

Für alle Trillian-Versionen stehen entsprechende Patches zum Download bereit.

rotalarm.de

#####

Neues Sicherheitsupdate für OS X

[Apple/Macintosh] (http://www.macnews.de/?51340) Mit einem weiteren Sicherheitsupdate ("2004-02-23" via Software Aktualisierung) reagiert Apple auf bekannt gewordene Schwachstellen einzelner Tools, die mit Mac OS X zur Auslieferung kommen. Dazu zählen die Komponenten DiskArbitration, IPSec, das Point-to-Point-Protokol sowie tcpdump.

Das Update ist 1,6 MB groß und erfordert nach der Installation einen Neustart. Es ist für Jaguar und Panther jeweils in Client- und Server-Versionen verfügbar.

rotalarm.de

######

Warnung vor E-Mail-Wurm "Netsky.D"
- Der mit dem Piep -

Bonn, 1. März 2004 - Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt erneut vor einem neuen gefährlichen Computer-Wurm, der in E-Mails als Datei-Anhang verschickt wird. Es werden dabei E-Mail-Adressen verwendet, die auf einem infizierten Computer gefunden wurden. Der eigentliche Absender ist gefälscht!

Betroffen sind alle gängigen Windows-Betriebssysteme. "Netsky.D" ist eine weitere Variante des bereits bekannten Netsky-Wurms. Innerhalb nur weniger Stunden sind offensichtlich bereits Tausende von Rechnern infiziert, wie aus dem Mail-Aufkommen mit diesem Wurm hervorgeht. Aktiviert wird er durch einen Doppelklick auf den Datei-Anhang. Die beigefügte Datei ist genau 17.424 Bytes groß und hat immer die Endung „.pif“. Der englische Text der E-Mail lautet dabei: „Here is the file.“, „See the attached file for details.“, „Please have a look at the attached file.“, „Please read the attached file.“, „Your document is attached.“ oder „Your file is attached.“

Neben der Beeinträchtigung des E-Mail-Verkehrs durch massenhafte Versendung macht sich zunächst am Dienstag, dem 2. März 2004, am Morgen für eine gewisse Zeit der PC-Lautsprecher mit einem Pieps-Ton bemerkbar. Zusätzlich versucht der Netsky-Wurm bereits auf einem Computer vorhandene Varianten des Mydoom-Wurms zu deaktivieren.

Eine deutsche Beschreibung des Wurms ist auf der Internet-Seite des BSI http://www.bsi.bund.de/av/vb/netskyd.htm zu finden. Heute, 1.3.2004, aktualisierte Viren-Schutzprogramme erkennen mittlerweile dieses Schadprogramm.

Genereller Hinweis des BSI zu solchen E-Mail-Würmern:
Bei E-Mail auch von vermeintlich bekannten bzw. vertrauenswürdigen Absendern prüfen, ob der Text der Nachricht auch zum Absender passt (englischer Text von deutschem Partner, zweifelhafter Text oder fehlender Bezug zu konkreten Vorgängen etc.) und ob die Anlage (Attachment) auch erwartet wurde.

BSI-LInk

_____

Datenleck bei Softbank/Yahoo BB

In Japan gibt es derzeit eine intensive Diskussion über die Sicherheit von Daten bei Unternehmen. Bei Softbank BB, einer Tochter der Softbank-Gruppe und Japans größter Breitband-Anbieter, ist ein großes Datenleck bekannt geworden, durch das Unbefugte auf über 4,5 Millionen Datensätze von Yahoo-BB-Kunden zugreifen konnten. An Yahoo Broadband in Japan hält Softbank 55 Prozent der Anteile.

Für gewöhnlich sind 135 Personen zur Einsicht in die Datenbank autorisiert, doch durch einen Systemfehler hatten zum Beispiel auch Servicedienstleister Zugriff auf die Daten. Medien berichten vom "größten Datenleck aller Zeiten", laut Softbank ist bislang nicht klar, wie die Daten nach außen gelangen konnten.

Das Sicherheitsloch wurde im Rahmen von Ermittlungen gegen vier Personen entdeckt, die die Softbank Corp. und Softbank BB erpresst haben sollen. Diese sollen 4,5 Millionen Personendaten von Yahoo BB auf DVDs kopiert haben, berichtet die japanische Nachrichtenagentur Nikkei. Die Softbank-Gruppe will den Yahoo-Kunden nun 4 Milliarden Yen (29 Millionen Euro) Schadensersatz zahlen. Die gestohlenen Daten enthielten nach Angaben von Softbank Namen, Telefonnummern, Adressen, E-Mail-Adressen der Kunden, Yahoo-Mailadresse und Kunden-ID bei Yahoo Japan, aber keine Informationen über Zugangsdaten oder Kreditkarten.

HeiseLink

___

Neue Variante des Netsky-Wurms verbreitet sich schnell

Nachdem am Wochenende gleich fünf neue Varianten des Bagle-Wurms entdeckt worden, gibt es jetzt auch eine neue Mutation des Netsky-Wurms, von Network Associates Netsky.d getauft. Der Schädling verhält sich ähnlich wie sein Vorgänger: Er verbreitet sich über eine eigene SMTP-Engine mit stets gefälschten Absenderadressen. Die D-Variante legt eine 17,424 Byte große Datei winlogon.exe im Windows-Systemverzeichnis an und schreibt einen Schlüssel in die Windows-Registry, um sich beim Hochfahren des Systems selbst zu starten. Als Nebeneffekt versucht der Wurm, eventuell vorhandene Hintertüren von MyDoom.a und MyDoom.b zu deaktivieren.

Die meisten Antivirus-Hersteller wie Network Associates und Symantec haben bereits aktualisierte Virensignaturen zur Erkennung der neuen Netsky-Mutation. Die neue Netsky-Variante scheint sich rasant zu verbreiten: Die Scanner auf den Mail-Servern des Heise-Verlags registrierten über 400 mit dem Wurm verseuchte E-Mails innerhalb einer Viertelstunde nach Aktualisierung der Signatur-Dateien.

Grundsätzlich gilt: Egal wie die Datei in einem Mailanhang heißt, man sollte sie nicht ungeprüft öffnen, anklicken oder ausführen. Auch wenn der Absender bekannt ist, kann die Mail den Wurm enthalten. Ohnehin sollten deutsche Anwender die -- allerdings stark variierenden -- englischen Betreffzeilen und Nachrichtentexte stutzig machen. Weitere Hinweise zu Viren und Würmern finden Sie auf den Antiviren-Seiten von heise Security.

HeiseLink

_____

Schwachstelle in Symantec Gateway Security

Eine Cross-Site-Scripting-Schwäche in Symantecs Gateway Security Appliance ermöglicht Angreifern, Admistrator-Sitzungen zu entführen. Wird eine speziell manipulierte URL geladen, kann darüber beliebiger Scripting-Code auf dem Browser des Opfers ausgeführt werden. Der Scriptcode liefe dann im Kontext der Symantec Gateway Security; der Angreifer kann so an Authentifizierungs-Cookies (JSESSIONID) herankommen, vom Nutzer übermittelte Daten einsehen oder Änderungen in der Konfiguration vornehmen. Im schlimmsten Fall kann der Angreifer eine komplette Administrations-Sitzung entführen. Symantec stellt einen Patch für das Problem zur Verfügung (SG8000-20040130-00), den betroffene Adminstratoren schnellstmöglichst einspielen sollten.

HeiseLink

____

Sicherheitsproblem in WinZip [Update]

Die Firma iDefense hat ein Advisory zu einem möglichen Buffer Overflow in dem Archiv-Tool WinZip veröffentlicht. Der Fehler lässt sich durch speziell präparierte Archiv-Dateien ausnutzen, um Code auszuführen. Öffnet ein WinZip-Nutzer eine solche Datei, beispielsweise indem er auf ein entsprechendes Mail-Attachment klickt, kann er sich auf diese Art sogar einen Virus einhandeln.

Gefährlich sind die Archivtypen .mim, .uue, .uu, .b64, .bhx, .hqx und .xxe, die der eingebaute Decoder UUDeview behandelt. Der Fehler existiert in allen WinZip-Versionen ab 6.2 bis hin zur letzten Beta-Version 9.0. In der aktuellen Release 9.0 ist der Fehler beseitigt.

Das betroffene Modul beruht auf dem Unix-Tool UUDeview, das unter anderem auch der KDE-Mailer KMail nutzt. Es ist nicht auszuschließen, dass diese UUDeview-Versionen von dem Problem auch betroffen sind.

Update:
Der Maintainer von KMail, Ingo Klöcker, hat gegenüber heise Security klargestellt, dass weder KMail noch andere KDE-Applikationen von dem Problem in UUDeview betroffen seien. Die UUDeview-Bibliothek uulib wurde lediglich in einer sehr alten Version des News-Readers krn genutzt (KDE 1.x) und ist seit KDE 2.0 nicht mehr Bestandteil von KDE. Eine Stellungnahme des UUDeview-Maintainers steht noch aus.

HeiseLink

___

Sicherheitsloch in WFTP und WFTP Pro

Laut eines Postings auf der Sicherheits-Mailingliste Full Disclosure gibt es eine neue Sicherheitslücke im Windows-FTP-Server WFTPD, die es authentifizierten Benutzern ermöglicht, beliebigen Code auszuführen. Der Fehler liegt in den Befehlen LIST, NLST und STAT: Ein Buffer Overflow bringt den Stack zum Überlaufen und ermöglicht so die Code-Ausführung.

Betroffen sind WFTD Server 3.10 und 3.21 und WFTPD Pro Server 3.20 und 3.21. Unter der Pro-Version ist der Fehler besonders kritisch, da dort Code mit Systemrechten ausgeführt werden kann, unter WFTPD Server lediglich mit den rechten der Applikation. Einen Patch gegen das Problem gibt es bislang noch nicht; da dem Posting auf Full Disclosure ein Proof-of-Concept-Exploit beigefügt wurde, sollte man bis zur Verfügbarkeit eines Hotfixes von dem Einsatz von WFTPD absehen.

HeiseLink

------

Fireglider · 02.03.2004

Neue Varianten des Bagle-Wurms im Umlauf [Update]

Nachdem vor zwei Wochen bereits eine erste Variante des Bagle-Wurms aufgetaucht ist, sind am vergangenen Wochenende gleich fünf neue Varianten entdeckt worden. Network Associates führt diese als Bagle.c bis Bagle.g in der Datenbank. Die neuen Varianten unterscheiden sich in ihrer Funktionsweise nicht von den Vorgängern, die Trägermails kommen aber jeweils mit unterschiedlichen Betreffzeilen und Attachment-Namen ins Haus. Die Größe des Dateianhangs variiert ebenfalls.

Wie schon die Sobig-Würmer enthalten die Bagle-Varianten c bis g ein Ablaufdatum: Ab dem 25. März 2004 stellen die Schädlinge ihre Verbreitung ein. Führt der Anwender das Attachment aus, infiziert der Wurm den lokalen Rechner, indem er verschiedene Dateien im Windows-Systemverzeichnis anlegt und sich in der Windows-Registry als Autostart-Eintrag verewigt. Ferner öffnet er eine Hintertür auf Port 2745 und versucht, Komponenten aus dem Internet nachzuladen. Ist der Schädling aktiv, versucht er zusätzlich, die Update-Prozesse von installierten Virenscannern abzuschießen, sodass keine aktuellen Virensignaturen heruntergeladen werden können.

Einige dieser Bagle-Varianten verbreiten sich mittlerweile recht schnell, Network Associates führt die c- und e-Varianten bereits auf der Risikostufe "mittel". Antivirus-Software sollte die neuen Varianten mittlerweile erkennen und infizierte Mails abfangen können. Weitere Hinweise zum Schutz vor Viren und Würmern finden sich auf den Antivirus-Seiten von heise Security.

Update:
Einige Bagle-Versionen bedienen sich eines neuen Tricks, um Antiviren-Software auszutricksen: Sie verschlüsseln das angehängte ZIP-Archiv, sodass beispielsweise der Kaspersky-Virenscanner den infizierten Anhang nicht mehr erkennt. Um sich zu infizieren, muss der Empfänger dann nicht nur die ZIP-Datei und die eingepackte Datei öffnen, sondern auch noch das in der Mail aufgeführte Passwort eingeben. NAI behauptet, dass ihre Signatur-Datei auch eine Kennung für die verschlüsselten ZIP-Archive enthalte.

HeiseLink

Juliet · 05.03.2004

Ein Fehler im XML Forms Data Format (XFDF) ermöglicht das Ausführen von beliebigem Code durch Ansicht eines XFDF-Dokuments. XML Forms Data Format ist eine Erweiterung für den Acrobat Reader, um Anmerkungen und Formulare anzuzeigen.

NGSSoftware hat einen Buffer Overflow im Renderprozess solcher XFDF-Dokumente ausgemacht: Beim Parsen einer XFDF-Datei findet ein unsicherer Aufruf von sprintf() statt, um eventuell vorhandene Debug-Messages auszugeben. Egal, ob der Prozess debugged wird oder nicht, der Aufruf von sprintf() lässt sich für einen Buffer Overflow nutzen, um beliebigen Code auszuführen.

Das Problem tritt auf, sobald eine XFDF-Datei mit dem Acrobat Reader geladen und angezeigt wird. Kritisch ist der Fehler besonders deswegen, weil externe XFDF-Dokumente möglicherweise direkt über den Internet Explorer in den Acrobat Reader geladen werden -- und dass auch bei einer anderen Dateiendung als ".xfdf", wenn der MIME-Typ der Datei auf "application/vnd.adobe.xfdf" gesetzt ist.

Auf Anfrage von NGSSoftware hat man bei Adobe den Fehler bestätigt und stellt eine aktualisierte Version zur Verfügung, die den Fehler nicht mehr aufweist. Nutzer des Acrobat Reader sollsten schnellstmöglich die neueste Version einspielen.

Siehe dazu auch:

Advisory von NGSSoftware auf Full-Disclosure
Adobe Download-Bereich

Meldung vom 04.03.2004 10:39 Heise Link

Fireglider · 06.03.2004

News vom 02.03.2004

Metro stoppt RFID-Kundenkarten

[Datenschutz] (http://www.intern.de/news/5337.html) Die "Future Store Initiative" der Metro Group scheint einen ersten Rückschlag hinnehmen zu müssen. Im "Extra Future Store" der Handelsgruppe in Rheinberg wurden Kundenkarten mit RFID-Technologie (Radio-Frequency Identification) eingeführt. Doch das scheint nach dem Test "unter realen Bedingungen" gescheitert. Die etwa 10'000 seit April vergangenen Jahres ausgegebenen RFID-Kundenkarten werden durch Karten mit Bar Codes ersetzt.

Offenbar ließ sich die Konzerleitung von der "emotional geführten" Diskussion um die RFID-Technologie zu diesem Schritt bewegen (FoeBuD-Aufruf zur Demo, wir berichteten). Die Benutzer solcher Kundenkarten müssen nach Meinung der Datenschützer befürchten, dass sie durch die RFID-Chips zum gläsernen Kunden werden.

Die RFID-Chips auf den Kundenkarten waren allerdings auch ein sehr ehrgeiziger Vorstoß der Metro Group, wenn man bedenkt, wie kritisch die Technologie allgemein gesehen wird. An den weiteren RFID-Plänen der Handelsgruppe soll sich allerdings nicht ändern. Metro verlangt von seinen 100 Top-Zulieferern bis spätestens November die Einführung von RFID-Tags auf allen Produkten.

rotalarm.de

######

Betrüger starten neue Spam-Attacke zum Kreditkartennummern-Klau

[Cyber-Crimes] (http://www.heise.de/newsticker/meldung/44953) Erneut versuchen Trickbetrüger, über das Internet an Visa-Kreditkartennummern zu gelangen. In gefälschten Mails auf englischer Sprache, die angeblich von der Visa-Sicherheitsabteilung kommen, behaupten die Versender, die Kreditkarte des Empfängers sei missbraucht oder gestohlen worden. Um weiteren Missbrauch zu verhindern, solle der Betroffene seine Daten auf einer Website eingeben.

Diese Website stellt freilich keineswegs eine offizielle Präsenz von Visa dar. "Es handelt sich vielmehr um einen erneuten Versuch des Identity-Theft", sagt Frank Scheidt vom Visa-Dienstleister für Sparkassen, Pluscard, gegenüber heise online. Er rät Kreditkartenkunden zu gesunder Vorsicht. Ein Anruf bei der eigenen Bank sei ein geeignetes Mittel, um die Echtheit von Mails des Kreditkarteninstituts zu überprüfen. "Rund 85 Prozent der Fälle von erfolgreichem Nummernklau gehen auf desinteressierte User zurück. Hier müssen wir die Kommunikation verbesssern", räumt er ein.

Das Thema ID-Theft wird nach Ansicht des Missbrauchs-Spezialisten künftig mehr Aufmerksamkeit erfordern. "Diese Spam-Mails sind der erste Vorboten des Problems, das in den USA bereits stärker ausgeprägt ist", sagt er. Die Kreditkarteninstitute arbeiten deshalb an neuen Sicherheitskonzepten. Ähnliche Vorfälle wie bei Visa hatte es in jüngster Zeit auch immer wieder einmal bei Banken gegeben.

rotalarm.de

######

Ableger des Bagle-Wurms durchstreifen das Internet

[Viren & Würmer] Sehr starke Verbreitung von zwei neuen Varianten des Wurms (http://www.golem.de/0403/30013.html) Wie Anbieter von Antiviren-Software übereinstimmend berichten, verbreiten sich seit kurzem gleich mehrere Varianten des Bagle-Wurms, der erstmals Mitte Januar 2004 auftauchte und einen Monat später seinen ersten Nachfolger erlebte. Derzeit zählen die Virenlabore fünf neue Ableger (C bis G) vom Bagle-Wurm alias W32.Beagle@mm, Bagle, I-Worm.Bagle, WORM_BAGLE, Win32.Bagle, die sich in den Funktionen kaum unterscheiden, sich allerdings bislang unterschiedlich stark verbreiten.

Alle Bagle-Würmer versenden sich per E-Mail mit gefälschten Absenderadressen, wechselnden Betreffzeilen und Nachrichtentexten, wobei sich auch die Dateinamen der Anhänge ändern, worin der Wurm-Code schlummert. Die ausführbare Wurm-Datei wird entweder direkt als Exe-, Scr- oder Zip-Datei an die E-Mail gehangen oder in Form eines Zip-Archivs versendet. Bei der direkten Versandart (Varianten F und G) zeigt der Wurm diese ausführbaren Daten fälschlicherweise mit einem Verzeichnis-Icon an. Aber auch die Exe-Datei in den Zip-Archiven (Bagle C, D und E) werden mit einem anderen Dateiart-Icon dargestellt, um so potenzielle Opfer in Sicherheit zu wiegen. So können die in dem Zip-Archiv liegenden Dateien etwa das Icon einer Textdatei, eines Excel-Dokuments oder eines Verzeichnisses tragen, obgleich es sich um eine Exe-Datei handelt. Der Wurm setzt für seine Verbreitung auf die Neugierde der Opfer.

Wird der Wurm-Code manuell geöffnet, nistet er sich so in einem Windows-System ein, dass der Schädling bei jedem Neustart des Betriebssystem geladen wird. Um eine Bekämpfung des Unholds zu erschweren, werden zahlreiche Viren-Scanner oder andere Sicherheits-Software automatisch beendet. Auf einem befallenen System durchsuchen die Würmer verschiedene Dateiarten nach E-Mail-Adressen und versenden sich an diese über eine eigene SMTP-Engine. Als weiteren Verbreitungsweg kopiert sich der Wurm in Verzeichnisse, die wömöglich zum Datenaustausch in Peer-to-Peer-Netzwerken verwendet werden.

Als weitere Schadroutine öffnet der Wurm den TCP-Port 2745 des befallenen Systems und versucht darüber Software auf den infizierten Rechner zu übertragen. Alle jüngst aufgetauchten Bagle-Würmer stellen zu einem festgelegten Termin ihre Aktivitäten ein. So beenden Bagle.C und Bagle.D am 14. März 2004 ihre Vermehrung, während die drei übrigen Varianten E, F und G am 25. März 2004 ihren Dienst einstellen.

rotalarm.de

######

Schwachstelle in Windows Explorer unter XP

[Microsoft Windows] BugTraq: Vulnerability in XP explorer.exe image loading (http://www.heise.de/newsticker/meldung/45024) Einem Posting auf Bugtraq zufolge sollen manipulierte Grafiken im EMF-Format (Enhanced Metafile) einen Heap Overflow im Windows Explorer unter XP provozieren, der in der Folge abstürzt. Potenziell kann ein Angreifer damit auch beliebigen Code auf das System schreiben und mit den Rechten des angemeldeten Benutzers ausführen. Der Fehler tritt sowohl bei der Vorschau in der Miniaturansicht auf – wenn der Explorer die Grafik in einem Verzeichnis darstellt – als auch bei der normalen Vorschau, etwa über die rechte Maustaste.

Schuld sind wahrscheinlich zwei Fehler in der Bibliothek shimgvw.dll, bei der die Größe der Datei (Total-Size-Feld) im Header vor dem Einlesen fehlerhaft überprüft wird. Der Autor des Postings weist darauf hin, dass der Explorer auch WMF-Dateien fehlerhaft verarbeitet. Ein Patch gibt es derzeit nicht. Als Workaround sollte man die Miniaturansicht abschalten und EMF/WMF-Dateien nicht in der Explorer-Vorschau ansehen, sondern mit einem anderen Bildbetrachtungsprogramm.

Einen ähnlichen Fehler bei der Verarbeitung von BMP-Dateien im Internet Explorer 5.x entdeckten vor kurzem Sicherheitsexperten nach der ungewollten Veröffentlichung des Windows-2000-Quellcodes. Manipulierte BMP-Dateien brachten aber nicht den Internet Explorer 6.0 zum Absturz, da Microsoft diesen Fehler dort bereits seit längerem behoben hatte. Anwendern älterer Versionen wurde aber bis dato kein Patch zu Verfügung gestellt.

rotalarm.de

######

Netsky.D – Der mit dem Piep

[Viren & Würmer] (http://www.bsi.de/presse/pressinf/netskyD010304.htm) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt vor einem neuen Computer-Wurm, der in E-Mails als Datei-Anhang verschickt wird. Es werden dabei E-Mail-Adressen verwendet, die auf einem infizierten Computer gefunden wurden. Der eigentliche Absender ist gefälscht!

Betroffen sind alle gängigen Windows-Betriebssysteme. "Netsky.D" ist eine weitere Variante des bereits bekannten Netsky-Wurms alias W32.Netsky.D@mm, WORM_NETSKY.D, W32/Netsky@MM, W32/Netsky.D.worm, W32/Netsky-D. Innerhalb nur weniger Stunden sind offensichtlich bereits Tausende von Rechnern infiziert, wie aus dem Mail-Aufkommen mit diesem Wurm hervorgeht. Aktiviert wird er durch einen Doppelklick auf den Datei-Anhang. Die beigefügte Datei ist genau 17.424 Bytes groß und hat immer die Endung „.pif“. Der englische Text der E-Mail lautet dabei: Here is the file., See the attached file for details., Please have a look at the attached file., Please read the attached file., Your document is attached. oder Your file is attached.

Neben der Beeinträchtigung des E-Mail-Verkehrs durch massenhafte Versendung macht sich zunächst am Dienstag, dem 2. März 2004, am Morgen für eine gewisse Zeit der PC-Lautsprecher mit einem Pieps-Ton bemerkbar. Zusätzlich versucht der Netsky-Wurm bereits auf einem Computer vorhandene Varianten des Mydoom-Wurms zu deaktivieren.

rotalarm.de

#######

Sicherheitsloch in WFTP und WFTP Pro

Laut eines Postings auf der Sicherheits-Mailingliste Full Disclosure gibt es eine neue Sicherheitslücke im Windows-FTP-Server WFTPD, die es authentifizierten Benutzern ermöglicht, beliebigen Code auszuführen. Der Fehler liegt in den Befehlen LIST, NLST und STAT: Ein Buffer Overflow bringt den Stack zum Überlaufen und ermöglicht so die Code-Ausführung.

Betroffen sind WFTD Server 3.10 und 3.21 und WFTPD Pro Server 3.20 und 3.21. Unter der Pro-Version ist der Fehler besonders kritisch, da dort Code mit Systemrechten ausgeführt werden kann, unter WFTPD Server lediglich mit den rechten der Applikation. Einen Patch gegen das Problem gibt es bislang noch nicht; da dem Posting auf Full Disclosure ein Proof-of-Concept-Exploit beigefügt wurde, sollte man bis zur Verfügbarkeit eines Hotfixes von dem Einsatz von WFTPD absehen.

HeiseLink

_____

Sicherheitsproblem in WinZip [2. Update]

Die Firma iDefense hat ein Advisory zu einem möglichen Buffer Overflow in dem Archiv-Tool WinZip veröffentlicht. Der Fehler lässt sich durch speziell präparierte Archiv-Dateien ausnutzen, um Code auszuführen. Öffnet ein WinZip-Nutzer eine solche Datei, beispielsweise indem er auf ein entsprechendes Mail-Attachment klickt, kann er sich auf diese Art sogar einen Virus einhandeln.

Gefährlich sind die Archivtypen .mim, .uue, .uu, .b64, .bhx, .hqx und .xxe, die der eingebaute Decoder UUDeview behandelt. Der Fehler existiert in allen WinZip-Versionen ab 6.2 bis hin zur letzten Beta-Version 9.0. In der aktuellen Release 9.0 ist der Fehler beseitigt.

Das betroffene Modul beruht auf dem Unix-Tool UUDeview, das unter anderem auch der KDE-Mailer KMail nutzt. Es ist nicht auszuschließen, dass diese UUDeview-Versionen von dem Problem auch betroffen sind.

Update:
Der Maintainer von KMail, Ingo Klöcker, hat gegenüber heise Security klargestellt, dass weder KMail noch andere KDE-Applikationen von dem Problem in UUDeview betroffen seien. Die UUDeview-Bibliothek uulib wurde lediglich in einer sehr alten Version des News-Readers krn genutzt (KDE 1.x) und ist seit KDE 2.0 nicht mehr Bestandteil von KDE. Eine Stellungnahme des UUDeview-Maintainers steht noch aus.

2. Update:
Der UUDeview-Maintainer Frank Pilhofer hat auf Nachfragen von heise Security bestätigt, dass sein Tool den Buffer Overflow ebenfalls enthält und stellt ab sofort eine bereinigte Version 0.5.20 auf seiner Website bereit.

HeiseLink

_____

SonicWall rüstet Intrusion Prevention nach

SonicWall folgt dem allgemeinen Trend und rüstet seine Firewall-Appliances mit Intrusion-Prevention-Fähigkeiten aus. Deep Packet Inspection soll ab dem zweiten Quartal als jährliches Abonnement für die Plattformen der TZ-170- sowie der PRO-2040-, PRO-3060-, PRO-4060- und PRO-5060-Serien erhältlich sein. Sie soll Internet-Dienste wie Web-Zugang, E-Mail, Dateitransfer, Windows-Dienste und DNS aktiv vor Angriffen schützen.

Ähnliche Funktionen haben auch Firmen wie ISS und Checkpoint in ihre Produkte integriert. Und prompt wurden Sicherheitsprobleme in diesen Diensten gefunden (etwa bei ISS oder Checkpoint).

Mit der Funktionsweise und der Problematik von Intrusion Prevention auf Firewalls beschäftigt sich der Artikel Besser vorbeugen auf heise Security.

HeiseLink

_____

Cross-Site-Scripting-Angriffe gegen Bulletin-Boards

Der Chinese Cheng Peng Su fand das Sicherheitsloch in phpBB, das es Angreifern ermöglicht, über Cross-Site-Scripting-Angriffe HTML-Code einzuschleusen. Darüber kann beispielsweise auf fremde Cookies zugegriffen werden. Der Fehler besteht darin, dass bei viewtopic.php über die URL übergebene Parameter nicht ausreichend geprüft werden. So kann über den Parameter postorder beliebiger HTML-Code direkt über die URL eingeschleust werden. Wird eine solche URL von einem Nutzer aufgerufen, dann wird der eingeschleuste Code im Sicherheitskontext der phpBB-Webseiten ausgeführt, wodurch er beispielsweise auf Authentifizierungscookies des Nutzers zugreifen kann. Außerdem können auch vom Nutzer an phpBB übermittelte Daten ausspioniert werden.

echu.org hat eine ähnliche Schwachstelle im französischen Pendant Free-BB gefunden: Hier liegt das Problem in den internen Tags wie

im Forum oder Gästebuch wird der entsprechende Script-Code im Kontext der Free-BB-Seiten ausgeführt, sobald ein Nutzer einen solchen Eintrag ansurft. Auch hierüber können Authentifizierungscookies gestohlen werden.

Das phpBB-Entwicklerteam hat bereits die neue Version 2.06d veröffentlicht, die das Problem beseitigt. Auch die aktuellste Version von Free-BB weist die Schwachstelle nicht mehr auf. Generelle Hinweise zu Cross-Site-Scripting-Angriffen finden Sie im Hintergrundartikel Torwandschießen von heise Security.

HeiseLink

____

Fireglider · 06.03.2004

Abgesang auf FreeS/WAN

Das Entwicklerteam kündigt an, die Weiterentwicklung von FreeS/WAN demnächst einzustellen. Vor dem endgültigen Aus soll nur noch ein Release 2.06 der populären IPSec-Implementierung für Linux erscheinen. Mit Internet Protocol Security lassen sich verschlüsselte und authentifizierte Verbindungen über das Internet realisieren und damit Netze und Rechner kostengünstig und sicher vernetzen.

Im offiziellen Abschiedsbrief begründet Claudia Schmeing diesen Schritt damit, dass man dem eigentlichen Ziel einer einfachen, flächendeckenden Verschlüsselung von Datenverkehr im Internet für jederman nicht näher gekommen sei. Die dafür erfundene Opportunistic Encryption (OE) ermöglicht es, ohne weitere Konfiguration eine verschlüsselte Verbindung zu einer Gegenstelle aufzubauen. Dazu kann FreeS/WAN über den Domain Name Service (DNS) den öffentlichen Schlüssel der Gegenstelle ermitteln (sofern der zuständige Name-Server diesen bereitstellt). Doch OE wurde nie in großem Maßstab eingesetzt. Stattdessen wird FreeS/WAN vor allem genutzt, um via Virtual Private Network (VPN) Firmen sicher mit Filialen oder Heimarbeitsplätzen zu vernetzen.

Ein anderer Grund taucht in Schmeings Abschiedsbrief nicht auf: Für IPSec muss der Linux-Kernel bestimmte Erweiterungen bereitstellen. Dazu hat das FreeS/WAN-Team über Jahre hinweg eigene Kernel-Patches bereitgestellt und gepflegt. Mittlerweile hat Linus Torvalds solche Erweiterungen auch in den Original-Kernel eingebaut. Er hat sich dabei aber gegen die FreeS/WAN-Patches entschieden und stattdessen einer Implementierung den Vorzug gegeben, die sich an den IPSec-Funktionen der BSD-Welt (Kame) orientiert. Auch wenn das FreeS/WAN-Team es nicht öffentlich zugibt: Diese Entscheidung und der damit absehbare Umstieg vieler Linux-User auf Kame dürfte auch ein Auslöser für den Abgang des Crypto-Schwans von der Open-Source-Bühne sein.

HeiseLink

#######################################
#######################################

News vom 03.03.2004

Mutierende Mail-Würmer im Tagesrhythmus [Update]

Den Überblick über die momentan neu ausbrechenden Schädlinge zu behalten fällt nicht leicht: Neben den neuen Bagle-Varianten G bis J gibt es auch neue Varianten des Netsky- und des MyDoom-Virus. Während sich die neuen Netsky-Varianten (E und F) und die MyDoom-Variante G bislang eher wenig bemerkbar machen, verbreiten sich die Neuauflagen der Bagle-Würmer schon wieder stärker. Die G-, I- und J-Varianten treffen bereits in regelmäßigen Abständen auf dem Heise-Mailserver ein.

Seit der F-Variante versenden sich die Bagle-Würmer häufiger auch über passwortgeschützte Zip-Dateien. Der Benutzer muss das in der Mail aufgeführte Passwort eingeben, um das Archiv zu öffnen -- und sich zu infizieren. Dass sich Schädlinge über passwortgeschützte Zip-Archive verbreiten, ist nicht neu, allerdings ist Bagle wohl der erste Schädling, der stets zufällige Passwörter für die Archive generiert.

Virenscanner, die keine verschlüsselten Archive öffnen können, finden den Schädling deshalb nicht. Manche Scanner wie der von Network Associates (NAI) erkennen den Virus jedoch trotzdem -- möglicherweise verwendet NAI die unverschlüsselten Verwaltungsinformationen der Archive, die Name, Datum und Größe der eingebetteten Dateien enthalten.

Bei den Bagle-Varianten fällt zusätzlich auf, dass die Autoren offenbar penibel darauf achten, dass neue Varianten nicht generisch erkannt werden. Antivirus-Unternehmen bestätigten gegenüber heise Security, dass sie bei neuen Bagle-Mutationen stets ihre Signaturen aktualisieren müssen, während die neuen Netsky- und MyDoom-Schädlinge häufig generisch erkannt werden. Ebenfalls auffällig ist, dass die die Schädlinge begleitenden Mails immer geschickteres Social Engineering anwenden, um den Anwender zum Ausführen des Attachments zu bewegen. Bagle.J beispielsweise setzt den Domainnamen des Empfängers stets in die Betreffzeile, so dass sich der Leser persönlich angesprochen fühlt. Diese Methode ist bei Spam schon länger gang und gäbe, bei Mail-Würmern aber eher ein neues Phänomen.

Dass mittlerweile schon während eines Tages gleich mehrere neue Schädlingsmutationen auftauchen, macht es den Antiviren-Unternehmen nicht leichter, stets aktuelle Virensignaturen zur Verfügung zu stellen. Mittlerweile müssten sich die Anwender eigentlich also täglich neue Virensignaturen besorgen, um auf dem aktuellen Stand zu bleiben. Und da kaum noch gewährleistet werden kann, dass die jüngste Variante eines Wurms auch bereits tatsächlich in den Signaturen des Virenscanners enthalten ist, sollte um so mehr der alt bekannte Rat beherzigt werden, grundsätzlich keine Attachments zu öffnen, solange man sich über dessen Inhalt nicht hundertprozentig sicher ist.

Grundsätzlich gilt also weiterhin: Egal wie die Datei in einem Mailanhang heißt, man sollte sie nicht ungeprüft öffnen, anklicken oder ausführen. Auch wenn der Absender bekannt ist, kann die Mail einen Wurm oder Virus enthalten. Weitere Hinweise zum Schutz vor Viren und Würmern finden Sie auf den Antiviren-Seiten von heise Security.

Update:

Sowohl Kaspersky Labs als auch Sophos weisen darauf hin, dass die Autoren der MyDoom-, Bagle- und Netsky-Schädlinge in den Quelltexten feindliche Botschaften an die jeweils anderen Wurm-Autoren einbauen. Hintergrund ist möglicherweise, dass die Netsky-Schädlinge die von MyDoom hinterlassenen Hintertüren wieder schließen. So heißt es im Quelltext von NetSky.C: "we are the skynet - you can't hide yourself! - we kill malware writers (they have no chance!) - [LaMeRz-->] MyDoom.F is a thief of our idea! - -< SkyNet AV vs. Malware". Im Quelltext von Bagle.I findet "Hey, NetSky, fuck off you bitch, don't ruine our business, wanna start a war?" Und auch in der F-Variante des MyDoom-Wurms findet sich ein abfälliger Kommentar über NetSky ("your shitty app"). Kasperky Labs geht davon aus, dass es sich um einen Kleinkrieg zwischen den Virenautoren handelt -- auf der einen Seite NetSky und auf der anderen MyDoom und Bagle.

HeiseLink

_____

Denial-of-Service-Schwachstelle in FreeBSD

Ein Fehler im FreeBSD-Kernel ermöglicht Angreifern von außen, alle FreeBSD-Systeme komplett lahm zu legen. Das Problem besteht beim Verarbeiten von TCP-Segmenten: Da diese vom System zunächst nicht in der richtigen Reihenfolge entgegengenommen werden, landen sie erst in der Reassembly Queue, wo sie anschließend sortiert und neu zusammengesetzt werden. FreeBSD hat allerdings keine Begrenzung für TCP-Segmente in der Reassembly Queue -- bei vielen eingehenden out-of-sequence-TCP-Segmenten wird so der gesamte Speicher ("mbufs") beansprucht, was laut dem FreeBSD-Advisory sehr wahrscheinlich zu einem Systemabsturz führt.

Der Fehler lässt sich über jedes TCP-Protokoll wie HTTP, FTP oder SMTP ausnutzen. Angreifer können so mit relativ wenig Aufwand einen Denial-of-Service-Angriff von außen ausführen. Die FreeBSD-Entwickler haben das Problem bereits beseitigt, Anwender sollten entweder auf eine FreeBSD-Version aktualisieren, die nach dem 2. März datiert ist oder einen der über das Advisory verfügbaren Patches einspielen.

HeiseLink

########################################
########################################

News vom 04.03.2004

Buffer Overflow in Acrobat Reader

Ein Fehler im XML Forms Data Format (XFDF) ermöglicht das Ausführen von beliebigem Code durch Ansicht eines XFDF-Dokuments. XML Forms Data Format ist eine Erweiterung für den Acrobat Reader, um Anmerkungen und Formulare anzuzeigen.

NGSSoftware hat einen Buffer Overflow im Renderprozess solcher XFDF-Dokumente ausgemacht: Beim Parsen einer XFDF-Datei findet ein unsicherer Aufruf von sprintf() statt, um eventuell vorhandene Debug-Messages auszugeben. Egal, ob der Prozess debugged wird oder nicht, der Aufruf von sprintf() lässt sich für einen Buffer Overflow nutzen, um beliebigen Code auszuführen.

Das Problem tritt auf, sobald eine XFDF-Datei mit dem Acrobat Reader geladen und angezeigt wird. Kritisch ist der Fehler besonders deswegen, weil externe XFDF-Dokumente möglicherweise direkt über den Internet Explorer in den Acrobat Reader geladen werden -- und dass auch bei einer anderen Dateiendung als ".xfdf", wenn der MIME-Typ der Datei auf "application/vnd.adobe.xfdf" gesetzt ist.

Auf Anfrage von NGSSoftware hat man bei Adobe den Fehler bestätigt und stellt eine aktualisierte Version zur Verfügung, die den Fehler nicht mehr aufweist. Nutzer des Acrobat Reader sollsten schnellstmöglich die neueste Version einspielen.

rotalarm.de

#########

Sicherheitslücke im IE – nicht für Microsoft

[online/Browser/Email] Sicherheitsleck im Internet Explorer erlaubt Ausspähung von Daten (http://www.golem.de/0403/30010.html) Über ein weiteres Sicherheitsleck im IE lassen sich die Beschränkungen beim "Cross Frame Scripting" umgehen, um so Einblick in vertrauliche Daten auf einem fremden System zu erlangen. Microsoft sieht darin zwar einen Programmfehler, stuft dies jedoch nicht als Sicherheitsloch ein, so dass in absehbarer Zeit kein Patch zur Beseitigung geplant ist.

Wie die Sicherheitsexperten von iDefense berichten, können über das Sicherheitsloch im IE 5.0, 5.5 und 6.0 vertrauliche Daten abgefangen werden. Damit sich ein Angreifer dieses Sicherheitsloch zu Nutze machen kann, muss er ein mögliches Opfer dazu bringen, einen bestimmten Link im IE zu öffnen und dann sensitive Daten einer vermeintlich vertrauenswürdigen Webseite mitteilen. Ein Angreifer könnte auf diesem Wege etwa Kreditkartendaten oder ähnliche Daten einsehen.

Wie iDefense mitteilte, stuft Microsoft das Sicherheitsloch nicht als solches ein und sieht darin lediglich einen Programmfehler. So plant der Hersteller auch keinen Patch für den IE, sondern will das Verhalten des Browsers lediglich mit einem künftigen Service Pack verändern. Wann entsprechende SPs erscheinen, ist derzeit nicht bekannt.

rotalarm.de

#####

Geldstrafe für Spyware

[Internet Recht] (http://www.intern.de/news/5334.html) Im Senat des US-Bundesstaats Utah wurde in dieser Woche in erster Lesung ein neues Gesetz vorgestellt, das sicher noch für Schlagzeilen sorgen wird. Der "Spyware Control Act" verbietet die Installation von Software, die die Computer-Nutzung überwacht, Informationen dieser Art an einen anderen Rechner überträgt, oder nutzungsabhängig Werbung einblendet. Jede Zuwiderhandlung wird mit 10'000 Dollar Geldstrafe bestraft. Anbieter von P2P-Software, die Spyware beinhaltet, sollten Anwender aus Utah in Zukunft also besser meiden.

rotalarm.de

#######

Jails in FreeBSD nicht ausbruchsicher

[Unix] FreeBSD-SA-04:03.jail (http://www.heise.de/newsticker/meldung/45088) Eigentlich sollen Jails in FreeBSD die Sicherheit erhöhen: Eingesperrte Prozesse können nur noch auf einen Teil des Dateisystems zugreifen, dürfen keine Kernel-Module nachladen und können einige weitere potenziell gefährliche Funktionen nicht nutzen. Selbst wenn ein Angreifer die volle Kontrolle über einen Prozess im Jail erlangt, kann er nur wenig Schaden anrichten, da es selbst mit Root-Rechten nicht möglich ist, aus dem Gefängnis auszubrechen.

Durch einen Fehler in FreeBSD 5 können Prozesse zwar ihr Jail nicht komplett verlassen, aber zumindest andere auf dieselbe Weise eingesperrte Prozesse in deren Zelle besuchen: Die Systemfunktion jail_attach() dient dazu, einen Prozess in das bestehende Jail eines anderen einzusperren – theoretisch allerdings nur, wenn er zuvor nicht in einem Jail lief. Der Fehler besteht nun darin, dass jail_attach() dies zu spät prüft und dadurch der aufrufende Prozess aus einem Jail auf die eigentlich unzugänglichen Dateien eines anderen Jails zugreifen kann. Die übrigen Einschränkungen kann er jedoch nicht aufheben.

Da die Funktion jail_attach() erst in FreeBSD 5 eingeführt wurde, sind nur die Release-Versionen 5.1 und 5.2 betroffen. Abhilfe schafft ein Kernel-Patch oder ein Update des Systems auf die jeweils aktuelle Version.

rotalarm.de

Fireglider · 06.03.2004

######

RFID-Störsender für Hacker und Verbraucher

[Datenschutz] (http://www.heise.de/newsticker/meldung/45009) Der Datensicherheits-Spezialist RSA hat auf seiner Hausmesse in San Francisco eine Technik vorgestellt, mit der sich die Datenspionage mit Hilfe von RFID-Chips (zur Radio Frequency Identification) in Grenzen unterbinden lässt.

Als denkbares Werkzeug zum Schutz der Verbraucher-Intimsphäre auch ohne den kompletten Verzicht auf RFID-Einsatz hat RSA einen Blocker-Chip entwickelt, der die Kommunikation zwischen den smarten Etiketten und den zugehörigen Lesegeräten stört. Der Störsender, dessen Demo-Exemplare RSA auf der Messe als Bestandteil spezieller Einkaufstaschen verteilt, arbeitet wie die normalen RFID-Tags passiv. Das heißt: Er bezieht seine Energie aus den Sendeimpulsen des Lesegeräts und nutzt sie, um ein mehr oder weniger hilfreiches Signal dorthin zurückzusenden.

Der Trick der RSA-Techniker beruht darauf, dass Lesegeräte nicht die Seriennummern aller erreichbaren Chips gleichzeitig lesen können. Deshalb nutzen Chips und Sensoren ein so genanntes Singulation Protocol, mit dem das Lesegerät der Reihe nach einzelne Chips adressiert, diesen eine Sende-Erlaubnis erteilt und anschließend deren Daten ausliest – auslesen würde, wenn nicht der Blocker-Chip gegenüber dem Lesegerät eine schier unendliche Zahl adressierbarer RFID-Labels simulierte, die sich unmöglich alle nacheinander abfragen lassen. Somit wäre prinzipiell jede Spionagegefahr gebannt, wenn ein solcher RFID-Störesender im Bereich des Lesegeräts aktiv ist.

Allerdings gilt es nach dem gegenwärtigen Stand der RSA-Überlegungen zwei Einschränkungen zu beachten: Zum einen arbeiten amerikanische RFID-Etiketten typischerweise mit einem anderen Singulation Protocol als ihre europäischen Pendants, daher funktioniert der Ansatz bislang nur in amerikanischen Umgebungen. Zum anderen lässt sich der Blocker-Chip bei unkontrolliertem Einsatz, etwa in Händen eines Hackers, zu einer Totalblockade aller – auch nützlicher – RFID-Anwendungen missbrauchen. Immerhin üben die Störenfriede auf den RFID-Sensor so etwas ähnliches wie eine Denial-of-Service-Attacke aus, indem sie das Gerät zu endlosen Serien vergeblicher Chip-Ansprachen nötigen.

Deshalb schlagen die RSA-Entwickler ein Konzept vor, nach dem Blocker-Chips nur Labels bestimmter Nummernbereiche ausbooten, um etwa innerhalb eines Supermarkts nicht dessen RFID-Warenwirtschaft zu stören. Beim Bezahlen an der Kasse könnten die Labels dann in einem Bit umkodiert werden und dadurch in den Blockadebereich der Störsender fallen. Anschließend hätte es der Verbraucher selbst in der Hand, ob er seine vielleicht unbewusst herumgetragenen Radioetiketten durch das Dazupacken eines Blockadechips maskiert, oder ob er zuhause darauf verzichtet, um etwa selbst nützliche Produktinformationen aus den RFID-Daten abzuleiten.

rotalarm.de

#####

Buffer Overflow in Acrobat Reader

Ein Fehler im XML Forms Data Format (XFDF) ermöglicht das Ausführen von beliebigem Code durch Ansicht eines XFDF-Dokuments. XML Forms Data Format ist eine Erweiterung für den Acrobat Reader, um Anmerkungen und Formulare anzuzeigen.

NGSSoftware hat einen Buffer Overflow im Renderprozess solcher XFDF-Dokumente ausgemacht: Beim Parsen einer XFDF-Datei findet ein unsicherer Aufruf von sprintf() statt, um eventuell vorhandene Debug-Messages auszugeben. Egal, ob der Prozess debugged wird oder nicht, der Aufruf von sprintf() lässt sich für einen Buffer Overflow nutzen, um beliebigen Code auszuführen.

Das Problem tritt auf, sobald eine XFDF-Datei mit dem Acrobat Reader geladen und angezeigt wird. Kritisch ist der Fehler besonders deswegen, weil externe XFDF-Dokumente möglicherweise direkt über den Internet Explorer in den Acrobat Reader geladen werden -- und dass auch bei einer anderen Dateiendung als ".xfdf", wenn der MIME-Typ der Datei auf "application/vnd.adobe.xfdf" gesetzt ist.

Auf Anfrage von NGSSoftware hat man bei Adobe den Fehler bestätigt und stellt eine aktualisierte Version zur Verfügung, die den Fehler nicht mehr aufweist. Nutzer des Acrobat Reader sollsten schnellstmöglich die neueste Version einspielen.

HeiseLink

#####################################
#####################################

News vom 05.03.2004

Netsky-Wurm landet auf Antivirus-Mailingliste

Durch einen peinlichen Fehler eines Moderators der Kunden-Mailingliste von F-Secure landete eine mit dem Schädling NetSky.B infizierte Mail auf dem Verteiler. Der Schädling hat die Adresse des Mail-Verteilers offenbar auf einem infizierten Computer gefunden und sich so dorthin verschickt -- was angesichts der Vorgehensweise des Computerschädlings, der sich immer an Adressen verschickt, die er auf den infizierten Rechnern vorfindert, nicht ungewöhnlich ist. Jedoch handelt es sich um eine moderierte Mailingliste; einer der Moderatoren hat die Mail versehentlich für die Veröffentlichung auf dem Verteiler zugelassen.

Nach Angaben von F-Secure haben sich zwar keine Kunden mit dem Schädling infiziert, man nimmt den Vorfall aber nicht auf die leichte Schulter: "Wir haben mehrere Schritte unternommen, damit sich ein solcher Vorfall nie wiederholt", sagte Mikko Hypponen, Leiter der Antivirus-Forschung bei F-Secure. So akzeptiert die Mailingliste künftig keine E-Mails von außen; zudem werden alle Dateianhänge vorher ausgefiltert. Hypponen weiß sehr wohl, dass es hätte schlimmer kommen können: "Wir sind nur froh, dass es sich um einen Schädling handelte, den wir bereits kannten."

HeiseLink

#####################################
#####################################

News vom 06.03.2004

Kritische Sicherheitslücken in SLMail

Zwei Sicherheitslücken im Mailserver SLMail Pro für Windows 2000 ermöglichen Angreifern von außen das Ausführen von beliebigem Code. Der erste Fehler steckt im Supervisor Report Center; durch speziell präparierte HTTP-Anfragen auf Port 801 kann ein Buffer Overflow ausgelöst werden. Ein ähnliche Schwachstelle steckt in den ISAPI-Erweiterungsbibiliotheken der Webmail-Komponente, die ebenfalls für einen Buffer Overflow anfällig ist. Dabei kann beliebiger Code mit Rechten des IWAM-Accounts ausgeführt werden. Betroffen ist SLMail Pro 2.0.9 und älter. Seattle Labs stellt einen Patch zur Verfügung, der die Schwachstellen beseitigt.

HeiseLink

Fireglider · 11.03.2004

News vom 08.03.2004

Datenleck bei Softbank/Yahoo BB

[Datenschutz] (http://www.heise.de/newsticker/meldung/45144) In Japan gibt es derzeit eine intensive Diskussion über die Sicherheit von Daten bei Unternehmen. Bei Softbank BB, einer Tochter der Softbank-Gruppe und Japans größter Breitband-Anbieter, ist ein großes Datenleck bekannt geworden, durch das Unbefugte auf über 4,5 Millionen Datensätze von Yahoo-BB-Kunden zugreifen konnten. An Yahoo Broadband in Japan hält Softbank 55 Prozent der Anteile.

Für gewöhnlich sind 135 Personen zur Einsicht in die Datenbank autorisiert, doch durch einen Systemfehler hatten zum Beispiel auch Servicedienstleister Zugriff auf die Daten. Medien berichten vom "größten Datenleck aller Zeiten", laut Softbank ist bislang nicht klar, wie die Daten nach außen gelangen konnten. Das Sicherheitsloch wurde im Rahmen von Ermittlungen gegen vier Personen entdeckt, die die Softbank Corp. und Softbank BB erpresst haben sollen. Diese sollen 4,5 Millionen Personendaten von Yahoo BB auf DVDs kopiert haben, berichtet die japanische Nachrichtenagentur Nikkei. Die Softbank-Gruppe will den Yahoo-Kunden nun 4 Milliarden Yen (29 Millionen Euro) Schadensersatz zahlen. Die gestohlenen Daten enthielten nach Angaben von Softbank Namen, Telefonnummern, Adressen, E-Mail-Adressen der Kunden, Yahoo-Mailadresse und Kunden-ID bei Yahoo Japan, aber keine Informationen über Zugangsdaten oder Kreditkarten.

http://www.rotalarm.de
######

RegTP geht erneut gegen rechtswidrigen Dialer vor

[Cyber-Crimes] Behörde untersagt HAS GmbH die Abrechnung (http://www.golem.de/0403/30053.html) Die Regulierunsgbehörde für Telekommunikation und Post (RegTP) hat der Firma Hanseatische Abrechnungssysteme GmbH (HAS) Rechnungslegung und Inkasso für die Zeit ab dem 15. August 2003 verboten. Dies bedeutet, dass Rechnungen der HAS über die Frankfurter Festnetzrufnummer 069/42726998 nicht bezahlt werden müssen.

Die RegTP hatte nach zahlreichen Verbraucherbeschwerden ermittelt, dass die HAS einen rechtswidrig eingesetzten Dialer verwendet, um Verbrauchern Beträge für eine angebliche Anmeldung zu einem Internet-Service in Rechnung zu stellen. Die Firma verlange 69,95 Euro für die Möglichkeit, einen Monat lang ein Erotik-Internet-Portal zu nutzen.

Der betreffende Dialer installiere sich entweder durch Anklicken eines Buttons auf einer Website oder er werde durch Anklicken von Werbebannern aktiviert. Das Programm beende die bestehende Verbindung ins Internet und baue dann eine neue Verbindung über die Rufnummer 069/42726998 auf. Gleichzeitig werde die Telefonnummer des Benutzers übertragen und die Daten des Anwenders würden ausspioniert. Laut RegTP wurden bereits mehr als 100'000 Rechnungen dieser Art versandt. In der Zeit vom 15. August 2003 bis 13. Dezember 2003 durften kostenpflichtige Dialer nur in den Rufnummerngassen (0)190 und (0)900 betrieben werden. Seit dem 14. Dezember 2003 müssen sich diese auf die Rufnummerngasse (0)900-9 beschränken. Alle anderen Dialer, die in anderen
Rufnummerngassen betrieben werden, sind rechtswidrig, so die RegTP.
######

http://www.rotalarm.de

Mutierende Mail-Würmer im Tagesrhythmus

[Viren & Würmer] (http://www.heise.de/newsticker/meldung/45207) Den Überblick über die momentan neu ausbrechenden Schädlinge zu behalten fällt nicht leicht: Neben den neuen Bagle-Varianten G bis J gibt es auch neue Varianten des Netsky- und des MyDoom-Virus. Während sich die neuen Netsky-Varianten (E und F) und die MyDoom-Variante G bislang eher wenig bemerkbar machen, verbreiten sich die Neuauflagen der Bagle-Würmer schon wieder stärker

Seit der F-Variante versenden sich die Bagle-Würmer häufiger auch über passwortgeschützte Zip-Dateien. Der Benutzer muss das in der Mail aufgeführte Passwort eingeben, um das Archiv zu öffnen – und sich zu infizieren. Dass sich Schädlinge über passwortgeschützte Zip-Archive verbreiten, ist nicht neu, allerdings ist Bagle wohl der erste Schädling, der stets zufällige Passwörter für die Archive generiert.

Bei den Bagle-Varianten fällt zusätzlich auf, dass die Autoren offenbar penibel darauf achten, dass neue Varianten nicht generisch erkannt werden. Antivirus-Unternehmen bestätigten gegenüber heise Security, dass sie bei neuen Bagle-Mutationen stets ihre Signaturen aktualisieren müssen, während die neuen Netsky- und MyDoom-Schädlinge häufig generisch erkannt werden.

Ebenfalls auffällig ist, dass die die Schädlinge begleitenden Mails immer geschickteres Social Engineering anwenden, um den Anwender zum Ausführen des Attachments zu bewegen. Bagle.J beispielsweise setzt den Domainnamen des Empfängers stets in die Betreffzeile, so dass sich der Leser persönlich angesprochen fühlt. Diese Methode ist bei Spam schon länger gang und gäbe, bei Mail-Würmern aber eher ein neues Phänomen. Dass mittlerweile schon während eines Tages gleich mehrere neue Mutationen auftauchen, macht es den Antiviren-Unternehmen nicht leichter, stets aktuelle Virensignaturen zur Verfügung zu stellen. Mittlerweile müssten sich die Anwender eigentlich also täglich neue Virensignaturen besorgen, um auf dem aktuellen Stand zu bleiben. Und da kaum noch gewährleistet werden kann, dass die jüngste Variante eines Wurms auch bereits tatsächlich in den Signaturen des Virenscanners enthalten ist, sollte um so mehr der alt bekannte Rat beherzigt werden, grundsätzlich keine Attachments zu öffnen, solange man sich über dessen Inhalt nicht hundertprozentig sicher ist.

http://www.rotalarm.de

####

Sicherheitslücke in WinZip erlaubt Programmausführung

[Office Software] Angreifer können schadhaften Programmcode in MIME-kodierten Dateien ablegen (http://www.golem.de/0403/30008.html) Das in der Windows-Welt verbreitete Kompressions-Tool WinZip weist in zahlreichen Versionen ein Sicherheitsleck auf, worüber Angreifer beliebigen Programmcode auf einem anderen System ausführen können. Das Sicherheitsloch betrifft alle früheren WinZip-Fassungen ab Version 6.2 – lediglich das kürzlich erschienene WinZip 9 weist das Sicherheitsrisiko nicht mehr auf. Patches für ältere WinZip-Versionen bietet der Hersteller jedoch nicht an.

So verursachen die betroffenen Versionen von WinZip einen Buffer Overflow, wenn präparierte und seltener häufig verwendete MIME-kodierte Dateien mit WinZip geöffnet werden, wie Experten von iDefense herausgefunden haben. Das Sicherheitsleck erlaubt einem Angreifer so, über Dateien der Endungen .MIM, .UUE, .UU, .B64, .BHX, .HQX und .XXE beliebigen Programmcode innerhalb des Archivs auf ein fremdes System zu schleusen und sich dadurch eine weit reichende Kontrolle über das System zu verschaffen. Ein potenzielles Opfer muss lediglich dazu gebracht werden, eine solche Datei mit einer älteren WinZip-Version zu öffnen.

Normalerweise enthalten MIME-Dateien keinen direkt ausführbaren Programmcode, so dass Nutzer sich hier in fälschlicher Sicherheit wiegen. Ein Angreifer kann derartige Dateien etwa in E-Mails einbinden, auf Internetseiten zum Download anbieten oder über Peer-to-Peer-Netzwerke bereitstellen, um so das Sicherheitsleck auf fremden Systemen auszunutzen. Der Hersteller bietet lediglich WinZip 9 an, worin das Sicherheitsleck geschlossen wurde. Für Vorversionen werden keine Patches angeboten. Registrierte WinZip-Nutzer erhalten die aktuelle Version kostenlos, allerdings steht bislang nur die englischsprachige Version zur Verfügung. Da das Sicherheitsloch andere Packer-Programme nicht betrifft, kann zur Abhilfe auch eines dieser Packer-Tools verwendet werden.

http://www.rotalarm.de
#######

Internet-Sicherheitslabor der Uni Trier

Das von der Universität Trier entwickelte Tele-Lab soll eine interaktive IT-Sicherheitsausbildung mit praktischen Übungen am eigenen Computer ermöglichen. Das virtuelle IT-Sicherheitslabor ist auf CD und im Internet verfügbar.

Die multimedial aufbereiteten Trainingsinhalte reichen von Verschlüsselung, digitaler Signatur und sicheren E-Mails über Authentifizierung und Firewalls bis hin zur Aufdeckung von Einbruchsversuchen in Computer-Netzwerke und Schwachstellen-Tests. Die Infrastruktur des Tele-Lab beruht auf Linux mit zahlreichen Sicherheits-Tools aus dem Open-Source-Bereich. Das System besteht aus drei wesentlichen Komponenten: Einem Webserver, einem virtuellen Labor und einer Bedienschnittstelle. Über den Webserver steht ein virtueller Tutor zur Verfügung, über den der Lernende sein Sicherheitsstudium kontrollieren kann; Lernerfolge und absolvierte Übungen werden auf dem Webserver gespeichert.

Das seit Mitte 2002 von Professor Christoph Meinel und seinem Team entwickelte Projekt soll seinen Nutzern eine realistische Arbeitsumgebung ("Live Linux System") zur Verfügung stellen, sodass das praktische Training nicht mehr durch begrenzende Simulationsmöglichkeiten eingeschränkt ist, sagt Meinel. Die Anwender können die benötigten Lehreinheiten, Werkzeuge und Programme einfach über ihren Browser aufrufen.

http://www.heise.de/security/news/meldung/45331

#####

Keine Gewähr auf den Schutz gesammelter Daten
Einige Unternehmen in den USA geben für die Sicherheit der gesammelten Daten keine Garantie. Oft erklärten sich die Kunden mit Geschäftsbedingungen einverstanden, in denen sie auf ihr Recht verzichten, ein Unternehmen zu verklagen, wenn Eindringlinge Kundendaten ausgeschnüffelt haben, schreibt die Washington Post. Dabei würden die Kunden diese Geschäftsbedingungen oft nicht durchlesen.

Zu den Unternehmen, die keine Sicherheitsgarantie übernehmen wollten und von den Kunden eine Verzichtserklärung verlangen, gehörten Verizon Wireless oder American Airlines, heißt es weiter. Die Unternehmen meinen, trotz aller Maßnahmen könnten sie nicht gewährleisten, dass die gesammelten Daten nicht von Eindringlingen aufgespürt und missbraucht werden könnten.

Das stößt auf Unmut von Verbraucherschützern, wie zum Beispiel beim Electronic Privacy Information Center (EPIC). Die Unternehmen wollten alle Vorteile aus den gesammelten Daten ziehen, aber keine Verantwortung für ihre Sicherheit übernehmen. Es dürfte Anwälten nicht schwer fallen, gegen diese Unverhältnismäßigkeit rechtlich vorzugehen, meinen die Verbraucherschützer.

http://www.heise.de/security/news/meldung/45324

+#####

Neue Variante des Mail-Wurms Sober im Umlauf

Die digitalen Schädlinge aus der MyDoom-Familie weisen mittlerweile acht und der NetSky-Clan sogar neun Varianten auf -- und seit dem heutigen Montagmorgen kursiert auch ein neuer Sober-Wurm. Sober.D versucht dabei, die Verunsicherung der Anwender über die diversen Wurm-Varianten und die unzähligen Schädlinge aus der MyDoom-Serie auszunutzen.

Sober.D tarnt sich als Microsoft-Update und behauptet im Mail-Text, eine Warnung vor einer neuen MyDoom-Variante darzustellen. Offenbar scheint der Social-Engineering-Trick des Schädlings zu wirken, was sicherlich dadurch unterstützt wird, dass momentan tatsächlich laufend neue MyDoom-Varianten auftauchen. Im Unterschied zu den neuen MyDoom- und NetSky-Schädlingen scheint sich Sober.D daher in Deutschland stärker zu verbreiten; einige verseuchte Mails sind auch bereits auf dem Heise-Mailserver eingegangen.

Wie seine Vorgänger verschickt sich Sober.D mittels eigener SMTP-Engine; die Mail-Texte sind zweisprachig: In E-Mails an die Top-Level-Domains .de, .ch. .at, .li, .nl oder .be ist die E-Mail deutsch, bei allen anderen englisch. Als Attachment enthält die Mail den Wurm als EXE-Datei oder als ZIP-Archiv. Wie üblich besorgt sich Sober die E-Mail-Adressen seiner Opfer über lokal gespeicherte Dokumente, die Absenderadressen sind stets gefälschte Microsoft-Adressen. Der Wurm legt mehrere Windows-Registry-Keys und Dateien in den Windows-Systemverzeichnissen an.

Grundsätzlich verschickt Microsoft keine Patches unaufgefordert per Mail, sondern stellt diese nur über www.windowsupdate.com zur Verfügung. Das gleiche gilt für vermeintliche Updates von Antiviren-Firmen. E-Mails, die anderes behaupten und mit einem Anhang daherkommen, sollten grundsätzlich ungesehen gelöscht werden.

Weitere Hinweise zum Schutz vor Viren und Würmern finden Sie auf den Antivirus-Seiten von heise Security.

http://www.heise.de/security/news/meldung/45315

Fireglider · 11.03.2004

Wurm gibt sich mit deutschem Text als Microsoft-Patch aus

[Viren & Würmer] Wurm Sober.D besitzt gefälschte Microsoft-Adresse als Absender (http://www.golem.de/0403/30130.html) Wie Antivirenhersteller berichten, verbreitet sich seit der Nacht auf Montag, den 8. März 2004, ein weiterer Ableger des Sober-Wurms im Internet, der einen deutschsprachigen Mail-Text enthält. Sowohl mit dem Mail-Text als auch einer gefälschten E-Mail-Adresse will der Unhold vortäuschen, es handele sich um einen von Microsoft versendeten Sicherheits-Patch gegen dem MyDoom-Wurm.

Der Wurm Sober.D alias Roca.A, W32.Sober.D@mm, Win32.Sober.D, W32/Sober.d@MM, WORM_SOBER.D versendet sich unter anderem mit deutschsprachigem Nachrichtentext samt passender Betreffzeile, kann jedoch auch mit entsprechendem englischem Text daherkommen. Die deutschsprachige E-Mail enthält die Betreffzeile Microsoft Alarm: Bitte Lesen! und folgenden Nachrichtentext:
Neue Virus-Variante W32.Mydoom verbreitet sich schnell. Eine neue Mydoom-Variante verbreitet sich derzeit rasend schnell im Internet. Wie seine Vorgänger verschickt sich der Wurm von infizierten Windows-Rechnern per E-Mail an weitere Adressen. Zudem installiert er auf infizierten Systemen einen gefährlichen #Trojaner! Führende Virenspezialisten melden bereis ein vermehrtes Aufkommen des W32.Mydoom alias W32.Novarg. Bitte daten Sie Ihr System mit dem Patch ab, um sich vor diesem Schädling zu schützen! +++ ©2004 Microsoft Corporation. Alle Rechte vorbehalten. +++ Microsoft Deutschland GmbH, Konrad-Zuse-Strasse 1 +++ 85716 Unterschleissheim, HRB 70438, DE 129 415 943

Die Absenderadresse ist in jedem Fall gefälscht und wird aus verschiedenen Bausteinen zusammengesetzt. So lauten die Adressen bei einer deutschsprachigen Wurm-Mail [email protected], [email protected], [email protected], [email protected], [email protected], [email protected], [email protected] oder [email protected]. Der Wurm-Code steckt in einer an die E-Mail angehängten Datei, die auf ZIP oder EXE endet und im Dateinamen Patch, MS-Security, MS-UD, UpDate oder sys-patch trägt. Der Dateiname kann zudem mit einer beliebigen Zahlenkombination versehen sein.

Der Wurm-Anhang nutzt keinerlei Sicherheitslücken, um sich automatisch zu installieren, so dass auch dieser Bösewicht auf die Unwissenheit der Nutzer setzt. Wird der Dateianhang leichtsinnigerweise manuell gestartet, kopiert sich Sober.D in das Windows-System-Verzeichnis und trägt sich so in die Registry ein, dass der Schädling bei jedem Windows-Neustart automatisch geladen wird. Nach einer Installation gibt der Wurm eine gefälschte Dialogbox aus, wonach der Patch erfolgreich installiert sei oder nicht benötigt werde. Zur Verbreitung durchsucht der Unhold zahlreiche lokale Dateien nach E-Mail-Adressen und versendet sich über eine eigene SMTP-Engine an diese. Die gefundenen E-Mail-Adressen sammelt Sober.D in einer Textdatei mit dem Namen MSLOGS32.DLL, welche im Windows-System-Verzeichnis abgelegt wird. Microsoft sowie viele andere Software-Hersteller versenden niemals Patches per E-Mail, so dass derartige E-Mails im Grunde leicht als Fälschungen erkannt werden können. Dennoch fallen offenbar viele unbedarfte Anwender immer noch auf diesen alten Trick herein.

http://www.rotalarm.de/

####

Schwachstelle in wu-ftpd

Ein Fehler im FTP-Server wu-ftpd ermöglicht authentifizierten Angreifern auf Verzeichnisse zuzugreifen, für die sie keine Berechtigung haben. Das von Glenn Stewart gefundene Sicherheitsloch steckt in der "restricted-gid"-Option, die quasi durch ein "chroot" Nutzer auf ihr Home-Verzeichnis beschränken soll.

Der Fehler entsteht, wenn authentifizierte Nutzer die Rechte ihres Home-Verzeichnisses mit chmod so ändern, dass sie selbst keine Zugriffsrechte mehr darauf haben: Ist restricted-gid aktiv, so springt wu-ftpd automatisch ins root-Verzeichnis des Servers. Kritisch ist das Sicherheitsproblem bei wu-ftp-Servern, auf denen halb-offene Accounts (Guest) existieren, da diese normalerweise über die restricted-gid-Option auf das Guest-Verzeichnis beschränkt sind.

Betroffen sind die Versionen 2.x, einen Patch von wu-ftpd gibt es bislang nicht, Debian stellt allerdings ein aktualisiertes Paket zur Verfügung, das den Fehler nicht mehr aufweisen soll. Als Workaround empfiehlt sich ansonsten entweder, "chmod" für die Guest-Gruppe zu deaktivieren oder ganz auf die restricted-gid-Option zu verzichten.

+#####

OpenBSD stopft Sicherheitsloch

Die OpenBSD-Entwickler haben ein Sicherheitsloch gestopft, das Angreifern von außen erlaubt, das System lahm zu legen. Es handelt sich dabei um den gleichen Fehler, auf den FreeBSD vergangene Woche in einem Advisory eingegangen ist. Der Fehler wurde unabhängig von anderen Quellen von den OpenBSD-Entwicklern selbst behoben, bestätigt Henning Brauer von OpenBSD gegenüber heise Security.

Das Problem besteht beim Verarbeiten von TCP-Segmenten: Da diese vom System zunächst nicht in der richtigen Reihenfolge entgegengenommen werden, landen sie erst in der Reassembly Queue, wo sie anschließend sortiert und neu zusammengesetzt werden. Da die Anzahl der TCP-Segmente nicht begrenzt ist, führt das bei vielen eingehenden Out-of-sequence-TCP-Segmenten dazu, dass Teile des Speichers ("mbufs") voll laufen und das System zeitweise nicht mehr erreichbar ist.

http://www.heise.de/security/news/meldung/45355

######

Microsofts März-Patches zu Outlook, Messenger und Media Services

Microsoft hat am monatlichen Patchday im März drei Updates herausgegeben. Das dringendste beseitigt einen Fehler in der Art wie Outlook 2002 Aufrufparameter auswertet, die ihm per mailto:-URLs übergeben werden. Durch sepezielle mailto-URLs kann ein Angreifer JavaScript-Code zur Ausführung bringen, der dann mit den Rechten des angemeldeten Benutzers in der Zone lokaler Computer läuft. Er kann diese URLs so in einer E-Mail oder Web-Seite einbauen, dass sie ohne weitere Aktion des Benutzers bei deren Betrachten ausgeführt werden. Damit kann er dann beispielsweise Hintertür-Programme nachladen.

Weniger schwerwiegend ("moderate") schätzt Microsoft eine Lücke im MSN Messenger ein. Durch spezielle File Requests kann ein Angreifer hier beliebige Dateien auf dem System eines Messenger-Anwenders auslesen, deren Namen und Pfad er kennt. Der dritte Patch betrifft die Media Services von Windows 2000 Server, die ein Angreifer durch spezielle TCP/IP-Pakete lahmlegen kann (Denial of Service, DoS).

Microsoft empfiehlt, die Patches auf allen betroffenen Systemen einzuspielen, insbesondere das Outlook-Update wird als wichtig bezeichnet. Zu den existierenden Schwachstellen des Internet Explorer, die es Web-Seiten ermöglichen, beliebigen Code auf dem Systemem ihrer Besucher auszuführen (siehe Browsercheck-Demo), gibt es noch keinen Kommentar aus Redmond.

Mit dem noch in diesem Halbjahr erwarteten Service Pack 2 für Windows XP will Microsoft jedoch unter anderem die Risikofaktoren Internet Explorer und Outlook (Express) entschärfen. Einen Überblick über die geplanten Neuerungen in diesem Bereich gibt der zweite Teil des Artikels Vergitterte Fenster auf heise Security.

Interessant ist im Übrigen auch die von iDefense in einem eigenen Advisory aufgeführte zeitliche Abfolge (Timeline) zur Geschichte der Outlook-Schwachstelle. Bereits im Oktober letzten Jahres hat iDefense die Informationen zu dem Sicherheitsloch vom eigentlichen Entdecker Jouko Pynnönen erworben. Im November benachrichtigten sie Microsoft und kurz darauf auch schon die eigenen Kunden. Fast vier Monate später -- parallel zu Microsofts Patch -- hat die Sicherheitsfirma nun auch ein öffentliches Advisory herausgegeben.

http://www.heise.de/security/news/meldung/45373

Fireglider · 11.03.2004

Nächster Virus-Gelbalarm

[Viren & Würmer] BSI gibt Netsky-Warnung heraus (http://www.bsi.bund.de/av/vb/netskyk.htm) Eine weitere Variante des Netsky Wurms, bezeichnet als W32.Netsky.K@mm alias W32/Netsky.j@MM, Win32.Netsky.J, W32/Netsky-J verbreitet sich derzeit durch Infektion von PCs mit Microsoft Windows wie einer seiner Vorgänger, Netsky.B, mit einer eigenen SMTP-Maschine per E-Mail-Nachricht.

Der Wurm wird durch die Ausführung der angehängten Datei aktiviert. Die E-Mail hat eine gefälschte Absender-Adresse, allgemein gehaltene Betreff-Zeilen und Nachrichten-Texte sowie einen Datei-Anhang der Größe 22'016 Byte und einem auf ".pif" endenden Namen.

Der Wurm durchsucht den PC nach E-Mail-Adressen in zahlreichen Dateitypen und kopiert sich im infizierten System mehrfach unter %windir%\Winlogon.exe. Mit einem Registrierungs-Schlüssel wird Netsky.K beim Rechnerstart aktiviert. Weiterhin werden von dem Wurm mehrere Registrierungsschlüssel gelöscht. Dabei handelt es sich um Schlüssel, die u. a. zum Wurm Mydoom.A und Mydoom.B gehören.

http://www.rotalarm.de/

11:36 CET

BGH: Abzocker haben keinen Anspruch auf Dialer-Entgelte

[Internet Recht] Kunden müssen Dialer-Verbindungen nicht bezahlen (http://www.golem.de/0403/30113.html) Wer sich unwissentlich einen Dialer einfängt, muss die erhöhten Gebühren für 0190- oder 0900-Mehrwertdienste-Nummern nicht bezahlen, sofern dem Anschlussinhaber kein Verstoß gegen seine Sorgfalts-Obliegenheiten zur Last gelegt werden kann, entschied jetzt der Bundesgerichtshof (BGH).

Ein Telefonnetzbetreiber hatte eine ISDN-Kundin auf Zahlungen von rund 9000 Euro verklagt. Die in Rechnung gestellten Beträge beruhten aber zum großen Teil auf Verbindungen, die von Mai bis August 2000 zu einer bestimmten 0190-Mehrwertdienste-Nummer hergestellt wurden. Der Sohn der Kundin hatte sich beim Surfen eine Datei auf seinen PC heruntergeladen, welche die Beschleunigung der Datenübertragung versprach, tatsächlich aber einen Dialer enthielt.

Der Dialer veränderte die Standardeinstellungen in den DFÜ-Verbindungen des Computers derart, dass sämtliche Verbindungen in das Internet fortan über eine teure 0190-Mehrwertdienstenummer hergestellt wurden. Die Löschung der scheinbar der Datenbeschleunigung dienenden Datei machte diese Veränderungen nicht mehr rückgängig. Die Manipulationen waren bei standardmäßiger Nutzung des Computers nicht bemerkbar.

Das Berufungsgericht hatte die Klage im Wesentlichen abgewiesen. Zuerkannt hat es lediglich die Beträge, die angefallen wären, wenn die Verbindungen in das Internet über die von der Klägerin bereitgestellte Standardnummer angewählt worden wären.

Der BGH hat nun die Revision der klagenden Telefongesellschaft zurückgewiesen. Sie habe aus dem Telefondienstvertrag mit der Beklagten keinen Anspruch auf Zahlung der Verbindungskosten nach den erhöhten 0190-Mehrwertdienste-Tarifen.

Da die Telefongesellschaft ein eigenes wirtschaftliches Interesse an der Inanspruchnahme der Mehrwertdienste habe – sie muss nur einen Teil des erhöhten Entgelts an andere Netz- und Plattformbetreiber abführen –, sei es angemessen, ihr das Risiko eines solchen Missbrauchs der 0190-Nummern aufzuerlegen, so der BGH. Der Beklagten und ihrem Sohn sei dabei auch kein Verstoß gegen ihre Sorgfalts-Obliegenheiten anzulasten. Sie hatten keinen besonderen Anlass zu Schutzvorkehrungen, da der Dialer nicht bemerkbar war. Auch eine routinemäßige Vorsorge gegen Anwahl-Programme konnte nicht erwartet werden, so das Gericht. #

http://www.rotalarm.de/

10:24 CET

Sicherheitslücke erlaubt es, BSD-Systeme lahm zu legen

[Unix] Updates für FreeBSD 4.x/5.x OpenBSD 3.3/3.4 erhältlich (golem, heise) Eine Sicherheitslücke in FreeBSD und OpenBSD erlaubt es Angreifern, entsprechende Systeme von außen mit wenig Aufwand lahm zu legen. Das Problem liegt in der Verarbeitung von TCP-Paketen und lässt sich daher auf unterschiedlichen Wegen ausnutzen. Abhilfe stellen die Entwickler aber bereit.

Da BSD die Zahl der TCP-Segmente, die in einer neu geordneten Warteschlange stehen, nicht limitiert, können Angreifer über TCP-basierte Dienste wie beispielsweise HTTP, SMTP oder FTP die Sicherheitslücke ausnutzen und verwundbare Systeme so zum Stillstand bringen. Abhilfe lässt sich auf der einen Seite durch entsprechende Timeouts in den jeweiligen Applikationen erreichen. Systeme sollten daher mit einem Update auf den jeweils aktuellen Stand der jeweils verwendeten BSD-Distribution versehen werden.

http://www.rotalarm.de/

09:49 CET

Schwachstelle in wu-ftpd

[Serverprogramme] (http://www.heise.de/security/news/meldung/45345) Ein Fehler im FTP-Server wu-ftpd ermöglicht authentifizierten Angreifern auf Verzeichnisse zuzugreifen, für die sie keine Berechtigung haben. Das von Glenn Stewart gefundene Sicherheitsloch steckt in der restricted-gid-Option, die quasi durch ein chroot Nutzer auf ihr Home-Verzeichnis beschränken soll.

Der Fehler entsteht, wenn authentifizierte Nutzer die Rechte ihres Home-Verzeichnisses mit chmod so ändern, dass sie selbst keine Zugriffsrechte mehr darauf haben: Ist restricted-gid aktiv, so springt wu-ftpd automatisch ins root-Verzeichnis des Servers. Kritisch ist das Sicherheitsproblem bei wu-ftp-Servern, auf denen halb-offene Accounts (Guest) existieren, da diese normalerweise über die restricted-gid-Option auf das Guest-Verzeichnis beschränkt sind. Betroffen sind die Versionen 2.x, einen Patch von wu-ftpd gibt es bislang nicht, Debian stellt allerdings ein aktualisiertes Paket zur Verfügung, das den Fehler nicht mehr aufweisen soll. Als Workaround empfiehlt sich ansonsten entweder, chmod für die Guest-Gruppe zu deaktivieren oder ganz auf die restricted-gid-Option zu verzichten.

http://www.rotalarm.de/

++++++++

Buffer Overflow in Python 2.2

Debian meldet ein Sicherheitsloch in Python 2.2, durch das Speicher auf dem Stack überschrieben werden kann. Der Fehler besteht in der Funktion getaddrinfo() im Zusammenspiel mit IPv6-Adressen: Ein Angreifer von außen kann durch Übermittlung einer speziell präparierten IPv6-Adresse über einen DNS-Server den Stack auf Rechnern mit Python 2.2 überschreiben.

Sebastian Schmidt hat den Fehler gefunden, betroffen sind Python 2.2 und 2.2.1, wenn die IPv6-Unterstützung nicht aktiviert ist. Bei Debian ist nur der Stable-Tree (woody) betroffen; dafür steht ein aktualisiertes Paket zur Verfügung. In der aktuellen Python-Version 2.3 ist das Problem behoben, womit auch der Unstable-Tree von Debian (sid) von der Schwachstelle nicht betroffen ist.

http://www.heise.de/security/news/meldung/45381

######

T-Com sperrt Nummern für Auslandsdialer

Die T-Com, Festnetz-Sparte der Deutschen Telekom, sperrt nach Hinweisen von Kunden und dem Bundesamt für Sicherheit (BSI) Auslandsverbindungen zu bestimmten Rufnummern. Aufgefallen waren der T-Com und dem BSI plötzlich erhöhte Verbindungsaufkommen zu einzelnen Rufnummern in bestimmten Zielländern. Als Ursache machte man Dialerprogramme aus.

Die Ziele dieser Verbindungen liegen in Sao Tome und Principe (mit der Vorwahl 00239), Guinea Bissau (00245), Diego Garcia (00246) und Nauru (00674). Außerdem wurden Verbindungen über den Satellitenfunkdienst EMSAT (0088213) aufgebaut. T-Com will künftig regelmäßig Rufnummern mit dem BSI abgleichen und für offensichtliche Dialer-Einwahlen keine Carrierentgelte mehr auszahlen.

Diese Maßnahme kommt nur T-Com Kunden zugute; bei Preselection-Kunden greift die Sperre nicht, da deren Verbindungen über die Netze anderer Telefongesellschaften laufen. Bislang standen die Kunden aber komplett ohne Schutz da: Die deutschen Verbraucherschutzgesetze gelten nicht für Auslandsverbindungen. Nach einer Entscheidung des Bundesgerichtshofs (Az. III ZR 96/03) muss ein Telefonkunde die Entgelte für die Einwahl bei einer 0190- oder 0900-Rufnummer nicht bezahlen, wenn diese Anwahl heimlich über einen im Computer des Kunden installierten Dialer erfolgte.

http://www.heise.de/security/news/meldung/45403

Fireglider · 12.03.2004

Outlook-Sicherheitslücke

[online/Browser/Email] US-CERT TA04-070A; MS04-009: Vulnerability in Microsoft Outlook Could Allow Code Execution (828040) (http://www.intern.de/news/5379.html) Im neuen Sicherheitsbericht Microsofts für den Monat März werden drei neue Sicherheitslücken beschrieben. Eine davon betrifft den Mail-Client Outlook und wird als "wichtig" bezeichnet.

Von dem Problem betroffen sind insbesondere Outlook 2002 SP 2 sowie Office XP SP2. Für die dort enthaltenene Outlook-Versionen werden Updates bereitgestellt. Ihre Installation scheint auch dringend notwendig, denn laut der Darstellung im Security Bulletin MS04-009 kann schon der Besuch einer Site oder das Lesen einer HTML-Mail zu einem Angriff ausgenutzt werden. Der Angreifer müsste in beiden Fällen eine speziell geformte Mail-Adresse im jeweiligen Dokument angeben, um die Sicherheitslücke auszunutzen. Weitere Details dazu werden von iDefense geliefert und wie man vermuten kann, werden sich für diese Informationen dankbare Abnehmer finden.

http://www.rotalarm.de/

11:06 CET

Patches für Windows 2000 Server und MSN Messenger erschienen

[Microsoft Windows] Sicherheitsloch im MSN Messenger erlaubt Lesen von Dateien (http://www.golem.de/0403/30175.html) Am monatlichen Patch-Day von Microsoft für den März 2004 veröffentlichte der Hersteller unter anderem Patches zur Beseitigung von Sicherheitslücken im Instant Messenger MSN Messenger der Versionen 6.0 und 6.1 sowie in Windows 2000 Server. Während ein Angreifer über das Sicherheitsleck im MSN Messenger Dateien einlesen kann, erlaubt das Sicherheitsloch in Windows 2000 Server eine Denial-of-Service-Attacke.

Im MSN Messenger 6.0 und 6.1 steckt ein Sicherheitsloch in der Programm-Komponente für die Bearbeitung von Datei-Anforderungen, worüber ein Angreifer über eine speziell formatierte Anfrage lokale Dateien einsehen kann, ohne dass das Opfer etwas davon bemerkt. Dafür muss ein Angreifer Name und Ort der einzusehenden Dateien sowie den Benutzernamen des MSN-Messenger-Anwenders kennen. Über eine solche Attacke lassen sich nur Dateien öffnen, für die das Opfer Leserechte besitzt. Wurde der MSN Messenger so konfiguriert, dass anonyme Nutzer abgewiesen werden, muss sich der Angreifer zudem zur Ausnutzung des Sicherheitslecks in der Kontaktliste des potenziellen Opfers befinden.

Ein weiteres Sicherheitsloch befindet sich im Windows 2000 Server im Zusammenspiel mit den Windows-Media-Komponenten Stationsdienst und Überwachungsdienst, worüber ein Remote-Benutzer über spezielle TCP/IP-Pakete eine DoS-Attacke ausführen kann, indem solche TCP/IP-Pakete an die Windows-Media-Dienste gesendet werden. Das kann dazu führen, dass keine weiteren Verbindungen mehr hergestellt werden können und der Dienst neu gestartet werden muss. Standardmäßig werden die für das Sicherheitsleck verantwortlichen Windows-Media-Komponenten nicht installiert, so dass nur Systeme betroffen sind, wo dies geschehen ist. Microsoft bietet entsprechende Patches für den MSN Messenger 6.0 sowie 6.1 an. Auch für Windows 2000 Server mit Service Pack 2, 3 oder 4 steht ein passender Patch zum Download bereit.

http://www.rotalarm.de/

10:33 CET

Zahlreiche Schwachstellen in Mozilla

[online/Browser/Email] Mozilla Bug 220257, 221526; CAN-2003-0791 u.a. (http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1183) Die Web-Suite Mozilla besteht aus mehreren Komponenten (Web-Browser, Mail-Client, HTML-Editor, Newsreader etc.). In den meisten Komponenten wurden in letzter Zeit Schwachstellen entdeckt, die üblicherweise stillschweigend im Zuge neuer Mozilla-Versionen behoben werden.

Der GNU/Linux-Distributor MandrakeSoft macht nun erstmals mit einem offiziellen Advisory auf einen Teil dieser Probleme aufmerksam, nämlich die, die zwischen den Versionen 1.4 und 1.5 behoben wurden. Von den Schwachstellen, die in den Release Notes von Version 1.6 angedeutet wurden, ist bislang nur eine überhaupt publiziert worden (vgl. Cross-domain exploit on zombie document with eventhandlers).

Es ist im Moment offen, ob weitere Distributoren neben MandrakeSoft überhaupt Sicherheitspatches für Mozilla planen. Bislang liegt nur eine halboffizielle Auskunft von Debian vor, derzufolge für Mozilla keine Sicherheitsupdates geplant sind, da dies nicht im Verhältnis zum notwendigen Aufwand steht (Debian vertreibt noch Mozilla 1.0.0, mit einer entsprechend langen Liste vorhandener Schwachstellen). Gegenwärtig ist zumindest in Sicherheitsfragen Mozilla offensichtlich keine überzeugende Alternative zum Marktführer. In einem Fall sind die Schwachstellen sogar so ähnlich, dass ein Exploit gegen Internet Explorer auch gegen Mozilla unter Windows erfolgreich ist (und auch tatsächlich zur Installation von sogenannter Dialer-Software eingesetzt wurde).

http://www.rotalarm.de/

09:43 CET

Trillian-Patch verhindert Abstürze der Software

[Editorial] Patches für kostenlose Trillian-Version und Pro-Ausführungen zum Download (http://www.golem.de/0403/30157.html) Cerulean Studios hat Patches für die Pro-Versionen sowie die kostenlose Ausführung des Instant Messengers Trillian zum Download bereitgestellt, um Programmfehler in der Software zu bereinigen. So kann man wohl ohne Einspielung des Patches Trillian zum Absturz bringen. Der Programmfehler befindet sich in den kostenlosen Trillian-Ausführungen 0.74 sowie in den kostenpflichtigen Pro-Varianten 1.x und 2.x. Für alle Trillian-Versionen stehen entsprechende Patches zum Download bereit.

http://www.rotalarm.de/ ################

Microsoft stuft Outlook-Loch als kritisch ein

Kurz nach der Herausgabe des Outlook-Updates hat Microsoft die Einschätzung zu dessen Bedeutung geändert: Dienstagabend hieß es noch, das Update sei "wichtig"; nun wurde es auf "kritisch" und damit die höchste Stufe angehoben.

Laut Microsoft habe man erst nachträglich erkannt, dass auch Outlook-Anwender betroffen seien, die nicht den Ordner "Outlook Heute" als Standardseite eingerichtet haben. Neue Erkenntnisse zu den möglichen Folgen des Sicherheitsproblems gibt es dagegen aber nicht. Bereits am Dienstag war bekannt, dass über speziell präparierte mailto-URLs in Web-Seiten oder E-Mails fremder Code auf dem System des Anwenders ausgeführt werden kann.

Microsoft bewertet die Wichtigkeit eines Updates offensichtlich nicht nur nach dem möglichen Schaden im Einzelfall, sondern auch nach der Zahl der potenziell anfälligen Benutzer. Dass ein Angreifer ohne Zutun eines Outlook-Benutzers beispielsweise Trojaner auf dessen Rechner installieren kann, reicht offensichtlich allein für eine Einstufung als "kritisch" nicht aus.

Neben der Neueinstufung gibt es weitere Informationen zur Geschichte des Outlook-Lochs. Der Entdecker des Problems behauptet in einem Advisory auf Bugtraq, er habe den Sachverhalt bereits am 21. Juli 2003 an Microsoft gemeldet. Böse Zungen spotten bereits, dass ein Zeitraum von acht Monaten auch etwas knapp bemessen sei, um die Bedeutung eines solchen Problems richtig einzuschätzen.

http://www.heise.de/security/news/meldung/45427

#####

Mehrere Schwachstellen in Mozilla 1.4

Die Mozilla-Entwickler haben mehrere Sicherheitslücken in ihrem Browser Mozilla aus der 1.4.x-Serie behoben; die schwerwiegendste Lücke ermöglichte Angreifern von außen, beliebigen Code einzuschleusen. Betroffen ist nur Mozilla 1.4, spätere Versionen weisen den Fehler nicht mehr auf. Patches für die Version 1.4 stellt das Mozilla-Team über ihren FTP-Server zur Verfügung. Die Mozilla Foundation entwickelt die 1.4-Serie der Websuite weiter, um mit unveränderten Funktionen und APIs Unternehmen und Drittanbietern eine konstante Basis für Eigenentwicklungen zu geben.

Der erste Fehler steckt in der JavaScripting-Engine, speziell manipulierte Skripte können durch Ausnutzen der Lücke Systemfunktionen aufrufen, der Fehler wird unter der Nummer 221526 in der Bugzilla-Datenbank geführt.

Ein weiteres Sicherheitsloch ermöglicht Angreifern, Nutzername und Passwort für Proxy-Authentifizierungen auszuspionieren (Bug-ID 220122). Mozilla legt einmal eingegebene Authentifizierungsdaten in den Cache und übergibt sie automatisch erneut, wenn der Server danach fragt ("407 Proxy authentication required"). Der Fehler besteht darin, dass Mozilla die Authentifizierungsdaten automatisch übermittelt, wenn ein Server mit dem gleichen Realm im Header wie der Original-Server danach fragt (Proxy-Authenticate: Basic realm=...). Mozilla überprüft weder Hostnamen noch IP-Adresse des Servers, so dass auch unbefugte Server diese Daten automatisch erhalten, wenn das gleiche Realm eingetragen ist.

Zudem wurde ein Fehler in der S/MIME-Implementation behoben, durch den Angreifer das System lahmlegen oder möglicherweise beliebigen Code ausführen können, indem sie speziell präparierte E-Mails versenden. Dieser Fehler beruht auf Schwachstellen in der ASN.1-Notation; das National Infrastructure Security Co-ordination Center (NISCC) hatte bereits im November vor dieser Sicherheitslücke gewarnt, die eine ganze Reihe von Herstellern und Produkten betrifft. Schließlich berichtet das Sicherheitsunternehmen Corsaire in einem Advisory noch über einen Fehler bei der Behandlung von Cookies, über den Angreifer Session-Cookies auslesen können.

Siehe dazu auch:

Bugzilla Bug 220122 (Proxy-Authentifizierung)
Bugzilla Bug 221526 (JavaScript)
Advisory von Corsaire (Session-Cookies)

++++++++++++

Neue Welle mit gefälschten Visa-Warnungen

Derzeit kursiert erneut eine E-Mail, die versucht, Kreditkarteninformationen von Visa-Kunden zu erschleichen, indem sie vor angeblichem Missbrauch warnt. Die Kreditkarte des Empfängers, beziehungsweise deren Nummer, sei gestohlen worden, behauptet in der Mail angeblich der Visa Service. Um falsche Abbuchungen zu vermeiden, solle er ein Formular des "Zero Liability"-Programms ausfüllen. Die Web-Seite, auf die die bei heise Security eingetroffenen Mails verweisen, wurde bereits von KT Web Hosting gesperrt. Es ist jedoch nicht auszuschließen, dass Mails mit anderen, noch funktionierenden URLs unterwegs sind.

Nachdem mit Microsofts Patch aus MS04-004 die Angabe von irreführenden Benutzernamen wie http://[email protected] nicht mehr funktioniert, wenden die Betrüger einen neuen Trick an, um die echte Zielseite zu verbergen. Die URL in den bei Heise eingegangenen Mails verweist eigentlich auf http://www.demospeople.com/. Allerdings ist dies selbst dem HTML-Quelltext so nicht zu entnehmen, da er sie nur in codierter From enthält: "http://%77%77%77%2E%64%65%6D%6F%73%70%65%6F%70%6C%65%2E%63%6F%6D"

Grundsätzlich sollte man solchen Warnungen per E-Mail sowieso mit einer gehörigen Portion Skepsis begegnen. Insbesondere direkte Links zu externen Seiten führen dabei häufig zu den Web-Seiten von Betrügern. Eine genaue Untersuchung der URLs zeigt jedoch, dass man nicht auf die Seiten des angeblichen Absenders geleitet wird.

http://www.heise.de/security/news/meldung/45432

#####

Sicherheitsloch bei Unreal

Eine Sicherheitslücke in EpicGames Unreal-Engine ermöglicht es Angreifern, beliebigen Code auf dem Server auszuführen. Laut eines Advisory von Luigi Auriemma auf der Sicherheits-Mailingliste Bugtraq handelt es sich dabei um einen Format-String-Bug, der sich sehr einfach ausnutzen lässt. Wenn sich Clients zu einem Server mit Unreal-Engine verbinden, schicken sie bestimmte Daten in Form von Klassen. Ein Angreifer kann in die Namen dieser Klassen Formatierungsbefehle ("%s", "%n") einbauen, die vom Server nicht gefiltert werden. Dadurch kann entweder der Server lahm gelegt oder sogar beliebiger Code ausgeführt werden.

Das Problem reicht recht weit, weil viele Spiele die Unreal-Engine verwenden. Neben Unreal und Unreal Tournament sind dies beispielsweise Postal 2, Star Trek: Klingon Honor Guard, Tactical Ops, Rainbow Six: Raven Shield und viele andere. Laut Auriemma wurde EpicGames bereits Anfang September vergangenen Jahres über die Schwachstelle informiert, dort wurde sie aber bis November nicht ernst genommen. Dann habe EpicGames alle Entwickler von anfälligen Spielen über eine interne Mailingliste informiert. Aber einen Hotfix gibt es bislang nicht: Zwar will EpicGames das Problem mit dem nächsten offiziellen Patch beheben, doch wann der zur Verfügung steht, ist derzeit unklar.

http://www.heise.de/security/news/meldung/45440

######

Fireglider · 12.03.2004

RUS-CERT warnt vor Mozilla [Update]

Das Computer Emergency Response Team der Uni Stuttgart (RUS-CERT) warnt in seinem Advisory nicht nur vor den soeben bekannt gewordenen Sicherheitslücken in Mozilla 1.4, sondern kommt auch zu einem vernichtenden Urteil über die Sicherheit des Open-Source-Browsers:

Gegenwärtig ist zumindest in Sicherheitsfragen Mozilla offensichtlich keine überzeugende Alternative zum Marktführer.

Zentraler Kritikpunkt des CERT ist die Tatsache, dass in der Mozilla Websuite fortlaufend Schwachstellen behoben werden, aber die Entwickler und Distributoren selbst in kritischen Fällen keine Sicherheitswarnungen herausgeben.

Diese Sicherheitsprobleme seien aber durchaus vergleichbar mit denen des Internet Explorer und erlauben in einigen Fällen auch das Ausführen beliebigen Programmcodes mit den Rechten des Mozilla-Benutzers. Es seien sogar bereits Exploits, die eigentlich auf den Internet Explorer zugeschnitten waren, zur Installation eines Dialer via Mozilla eingesetzt worden. Zum Schutz vor solchen Sicherheitsproblemen empfiehlt das CERT deshalb als Mindestmaßnahme, regelmäßig die Mozilla-Installation auf den neuesten Stand zu bringen.

Update:
Mittlerweile hat das RUS-CERT der Meldung nach dem oben zitierten Satz folgendes Update hinzugefügt:

Obiger Absatz wurde offenbar so interpretiert, daß vom Einsatz von Mozilla Abstand genommen werden soll. Wir wollten lediglich darauf hinweisen, daß auch Mozilla keine Lösung für die Sicherheitsprobleme darstellt, die derzeit alle Clients plagen. Insbesondere benötigt selbst Mozilla regelmäßige Sicherheitsupdates, die nicht von allen Distributoren bereitgestellt werden.

http://www.heise.de/security/news/meldung/45443

Fireglider · 13.03.2004

Bug erhält "Beförderung"

[online/Browser/Email] Risikofaktor für Outlook hochgestuft (http://www.intern.de/news/5387.html) Die am 9. März erstmals ergangene Warnung vor einer Sicherheitslücke im Mail-Client Outlook wurde von Microsoft überarbeitet. Die Sicherheitswarnung wurde von "wichtig" auf "kritisch" erhöht.

Ein neues Update wurde durch diese Änderung nicht notwendig. Wohl durch einen Hinweis des Entdeckers Jouko Pynnönen wurde allerdings der Hinweis aufgenommen, dass die Sicherheitslücke auch zum Download weiteren ausführbaren Codes benutzt werden kann. Pynnönen hatte Microsoft im Juli 2003 auf den Fehler hingewiesen. Um das Problem noch einmal kurz zusammenzufassen: Benutzern von Outlook 2002 droht die Gefahr, dass schon der Besuch einer Web-Site oder das Lesen einer Mail zu einem vollständigen Kontrollverlust über den Rechner führen kann.

http://www.rotalarm.de/

11:56 CET

T-Com sperrt 'Auslands-Dialer'

[Cyber-Crimes] In Zukunft Rufnummern-Abgleich mit dem BSI (http://www.golem.de/0403/30187.html) Die Festnetz-Tochter der Telekom, T-Com, sperrt künftig bestimmte Auslandsrufnummern, die von Dialer-Programmen angewählt werden. Grund seien Kundenhinweise sowie Informationen des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gewesen, denen zufolge Rufnummern in den Regionen Sao Tome und Principe (00239), Guinea Bissau (00245), Diego Garcia (00246) und Nauru (00674) gesperrt wurden. Gleiches gilt für bestimmte Nummern des Satelliten-Funkdienstes EMSAT (0088213).

"Da Auslands-Dialer nicht von den deutschen Verbraucherschutz-Gesetzen erfasst werden, hat sich das Unternehmen zu diesem Maßnahmenpaket entschlossen", so die T-Com in einer Mitteilung. Um möglichst hohen Schutz für T-Com-Kunden gewährleisten zu können, würden identifizierte Zielrufnummern gesperrt. In Zukunft soll ein regelmäßiger Abgleich möglicher Rufnummern mit dem BSI erfolgen und Zahlungen der entsprechenden Carrier-Entgelte gestoppt werden. Aus heiterem Himmel kommt der plötzliche "pro-aktive Verbraucherschutz" wohl nicht, denn erst kürzlich wurde vom Bundesgerichtshof entschieden, dass Kunden die Kosten für ohne ihr Wissen installierte Dialer-Programme nicht mehr tragen müssten – auch wenn sich das Urteil auf Dialer für inländische Mehrwertdienste-Rufnummern bezog (wir berichteten). Ohne die Sperrung könnte die T-Com auf den Kosten sitzen bleiben. Dennoch: Für den Kunden ist dies eine positive Entwicklung, da ihnen in Zukunft Stress erspart bleiben dürfte.

http://www.rotalarm.de/

09:32 CET

Schwere Sicherheitslücke in Unreal-Engine – Unzählige Shooter betroffen

[Serverprogramme] Format string bug in Epic Games Unreal engine (http://www.golem.de/0403/30204.html) Laut Angaben von Luigi Auriemma auf der Mailing-Liste Bugtraq weist die Unreal-Engine von Epic Games eine schwere Sicherheitslücke auf, die es Angreifern unter anderem ermöglicht, Programmcode auf dem Server auszuführen. Betroffen seien praktisch alle Spiele, die die Unreal-Engine nutzen und einen Multiplayer-Modus bieten.

Die Liste der betroffenen Programme ist also recht lang – neben den verschiedenen Unreal- und Unreal-Tournament-Spielen gehören unter anderem auch DeusEx, Devastation, Rainbow Six: Raven Shield und XIII dazu.

Sobald der Client bei einer Online-Partie dieser Spiele mit dem Server verbunden ist, werden die Namen der verwendeten Objekte in Form von Klassen an den Server übermittelt. Innerhalb dieses Klassen-Managements befindet sich eine Sicherheitslücke, so dass Angreifer über einen entsprechend formatierten String entweder den Server zum Absturz bringen oder sogar Programmcode auf dem Server ausführen können. Wie Auriemma berichtet, wurde Epic Games bereits am 2. September 2003 auf die Sicherheitslücke aufmerksam gemacht, erste Reaktionen gab es allerdings erst im November 2003. Mittlerweile wurden zwar alle Entwickler der betroffenen Spiele von Epic Games mittels der internen Mailing-Liste benachichtigt, eine Lösung des Problems gibt es bisher allerdings nicht. Zwar soll ein Patch die Lücke schließen, wann der erscheinen soll, kann man bei Epic Games bisher aber nicht sagen.

http://www.rotalarm.de/

######

Mindestens drei überfällige Windows-Patches

Die Sicherheitsfirma eEye Digital Security hat eine Seite mit Angaben zu derzeit noch offenen Sicherheitslücken veröffentlicht, von denen eEye drei Windows-Probleme mit dem Vermerk Severity: High versah. Über zwei dieser kritischen Windows-Lücken habe man Informationen vor über einem halben Jahr an Microsoft weitergeleitet. Die Probleme betreffen laut eEye Basisfunktionen von Windows NT/2000/XP und auch Windows 2003 Server; sie lassen sich nach Angaben der Firma so ausnutzen, dass ein Angreifer übers Netz Code ausführen kann. Eine dritte -- vor fünf Monaten bei Microsoft gemeldete Lücke -- stuft eEye ebenfalls als kritisch ein; sie betrifft nur Windows 2000 und XP. Weitere Details zur Natur der Schwachstellen gibt eEye derzeit noch nicht preis.

Microsoft bestätigte gegenüber heise Security, dass man die Seite und die dort aufgeführten Probleme kenne. Sie würden derzeit untersucht, es sei aber bereits klar, dass zumindest Anlass zur Besorgnis bestehe. Auf einen Erscheinungstermin für Patches wollte sich Microsoft jedoch noch nicht festlegen.

Auf der eEye-Seite werden auch offene Sicherheitsprobleme in Produkten anderer Hersteller, unter anderem von Symantec und ISS, aufgelistet, bei denen die Sicherheitsexperten aber Patches noch nicht als überfällig bezeichnen. Zu diesen Sicherheitsproblemen liegen heise Security noch keine Stellungnahmen der Hersteller vor.

http://www.heise.de/security/news/meldung/45473

#########

Schwachstellen in Sun Solaris und Java System Web Server

Das CERT des Deutschen Forschungsnetzes (DFN-CERT) warnt vor zwei Sicherheitslücken in Suns Java System Web- und Application-Server und in Solaris. Die Java-Schwachstelle liegt in der ASN.1-Implementierung; das National Infrastructure Security Coordination Center (NISCC) hatte bereits im November darauf hingewiesen, dass die ASN.1-Implementierung in diversen Produkten fehlerhaft sei.

Die zweite Lücke betrifft Solaris 2.6, 7, 8 und 9, sowohl auf SPARC- als auch auf x86-Plattformen. In uucp -- ein Befehl zum Dateitransfer -- befinden sich mehrere Buffer Overflows. Benutzer mit uucp-Rechten können diese ausnutzen, um beliebigen Programmcode mit Root-Rechten auf dem Server auszuführen.

Eine weiteres Sicherheitsloch in Solaris 8 und 9 hat Tim Wort von Inkling Research gemeldet. Lokale Benutzer können einen Fehler im Befehl passwd ausnutzen, um sich Root-Rechte zu verschaffen. Für alle Schwachstellen stellt Sun Patches bereit, die über die entsprechenden Advisories erhältlich sind.

Siehe dazu auch:

Alert Notification #57498 von Sun (Java System Web/Application Server)
Alert Notification #57508 von Sun (uucp)
Alert Notification #57454 von Sun (passwd)

Fireglider · 16.03.2004

Sicherheitsproblem mit ISS-Produkten

Die Sicherheitsfirma eEye warnt vor einem Sicherheitsproblem in mehreren ISS-Produkten. In den Intrusion-Detection- und Prevention-Systemen BlackICE und RealSecure existiere eine übers Netz ausnutzbare Schwachstelle, die vollen Zugriff auf das System erlaube. eEye hat das Problem an den Hersteller ISS weitergemeldet, gibt aber noch keine Details bekannt.

Auf eine Nachfrage von heise Security bestätigte ISS den Eingang eines Berichts von eEye über ein potenzielles Problem, an dem man derzeit arbeite. Details wolle man zu einem späteren Zeitpunkt bekanntgeben. Auf die Frage wie ISS-Kunden ihre Systeme in der Zwischenzeit schützen können, gab ISS keine Antwort.

http://www.heise.de/security/news/meldung/45532

+++++

Loch in Oracles Application Server Web Cache

Oracle warnt vor einem Sicherheitsproblem im Application Server Web Cache. Das Problem sei kritisch, Details gibt der Datenbankhersteller jedoch nicht bekannt. Betroffen sind die Produkte

Oracle Application Server Web Cache 10g (9.0.4.0.0)
Oracle9iAS Web Cache 9.0.3.1.0
Oracle9iAS Web Cache 9.0.2.3.0
Oracle9iAS Web Cache 2.0.0.4.0

auf allen Plattformen. Nur der Application Server Web Cache 10g (9.0.4.0.0) für Windows, Tru64 und AIX (release pending) enhält die Patches bereits. Das Risiko, dass ein Server tatsächlich verwundbar ist, stuft Oracle als hoch ein, da Firewalls gegen die Angriffe nicht schützen. Da es auch keinen Workaround für das Problem gibt, empfiehlt Oracle allen Kunden dringend, die bereitgestellten Patches einzuspielen.

Siehe dazu auch:

Security Alert von Oracle (PDF)
Download der Patches über metalink.oracle.com (Anmeldung erforderlich)

http://www.heise.de/security/news/meldung/45575

##

Bagle.N: Wurm-Virus mit neuen Tricks

Der als Bagle.M oder Bagle.N bezeichnete Windows-Schädling bringt neue Methoden mit, um den Virenscannern die Arbeit zu erschweren. Vom Grundprinzip unterscheidet sich die neue Bagle-Variante nicht von seinen Vorgängern: Er verbreitet sich über die Peer-to-Peer-Tauschbörse Kazaa sowie via E-Mail und verwendet dabei verschiedene englischsprachige Texte, die den Anwender dazu verleiten sollen, das Attachment auszuführen. Führt der Anwender die infizierte Datei oder den Mail-Anhang aus, öffnet der Schädling eine Hintertür auf Port 2556 und versucht, diverse Virenscanner und Personal Firewalls abzuschießen. Er verschickt sich unter anderem wieder als passwortverschlüsseltes Archiv, allerdings kommen bei der N-Variante neben zip- auch rar-Archive zum Einsatz. Einige Virenscanner haben die Passwörter zu den Archiven aus dem Mailtext extrahiert und so das Archiv entschlüsselt. Das klappt mit der neuen Variante nicht mehr so einfach, da sie das Passwort nicht in Textform preisgibt, sondern in eine der Mail angehängten Bild-Datei (.gif) schreibt. Mit den Problemen von verschlüsselten Schädlingen befasst sich auch der aktuelle Kommentar auf heise Security, Verschlüsselung als Sicherheitsproblem.

Zusätzlich ist Bagle.N einer der wenigen modernen Schädlinge, die tatsächlich der Bezeichnung Virus gerecht werden, denn neben den üblichen Dateien (diesmal "WINUPD.EXE"), die der Schädling bei Infektion des Systems hinterlegt, infiziert die neue Variante auch ausführbare Dateien. Das bedeutet einerseits, dass bei einer Infektion des Systems auch gleich alle installierten Programme betroffen sind. Andererseits verwendet der Schädling eine polymorphe (also sich stets ändernde) Verschlüsselung, wenn er exe-Dateien befällt, was die Erkennung kniffliger macht. Dirk Kollberg von Network Associates bestätigte gegenüber heise Security, dass der McAfee-Virusscanner mit den aktuellen Signaturdateien solch befallene .exe-Dateien wieder desinfizieren kann.

[font=Helvetica, Arial, Verdana, sans-serif][size=-1]ASCII-Art: Mittlerweile werden die Kampfansagen an andere Viren-Autoren mit ASCII-Bildern untermalt. (Quelle: NAI)[/size][/font]

Wie schon bei früheren Varianten ist auch bei Bagle-N wieder eine Botschaft an die NetSky-Autoren enthalten; diesmal gab man sich allerdings nicht mit einer bloßen Textnachricht im Schädlingscode zufrieden, sondern hat gleich dazu ein .jpg-Bild mit einkodiert, das die Textbotschaft mit dem Screenshot einer ASCII-Zeichnung untermalt.

Network Associates führt den Schädling bereits auf der Risikostufe "mittel", was darauf hindeutet, dass schon etliche Exemplare des Schädlings im Umlauf sind. Anwender sollten also mal wieder ihre Virensignaturen aktualisieren, falls nicht bereits geschehen. Weitere Hinweise zu Viren und Würmern finden Sie auf den Antivirus-Seiten von heise Security.

Siehe dazu auch:

Viren-Info W32.Beagle.M@mm vom BSI

Stefan · 17.03.2004

Massives Vorgehen gegen Raubkopierer (Update)

Die Polizei hat heute in mindestens vier Bundesländern auf der Suche nach Raubkopien mehrere hundert Hausdurchsuchungen durchgeführt. Auslöser für die in Bremen, Hessen, Niedersachsen und Nordrhein-Westfalen am heutigen Dienstagmorgen gestartete Aktion soll die behördliche Unterwanderung des Liquid-FXP-Boards gewesen sein, über das illegale Kopien von Filmen und Software angeboten wurde. Zugriff auf das Board soll den Ermittlern ein Administrator des FXP-Boards selbst gegeben haben, nachdem er von den Ermittlungsbehörden erwischt worden war.

Betroffen von den Durchsuchungsmaßnahmen war unter anderem auch das Rechenzentrum der Universität Bremen, wie ein Sprecher gegenüber heise online bestätigte. Zudem soll nach bislang unbestätigten Berichten auch die Uni Münster ins Visier der Fahnder geraten sein. Untersucht wurde jeweils, ob Server der Universitäten für die Verteilung von Raubkopien benutzt wurden. Von den -- nach unbestätigten Berichten insgesamt über 370 -- Durchsuchungen waren aber auch zahlreiche Privatpersonen betroffen. So gab ein Leser gegenüber der Redaktion an, dass die Ermittlungsbeamten am Ende der um 5:57 Uhr begonnenen Aktion seine komplette PC-Ausstattung sicherstellten.

Nach Angaben mehrerer mit den Untersuchungen betrauter Ermittlungsbehörden soll es bis zum Wochenende eine offizielle Pressemitteilung zu den heutigen Maßnahmen geben. Die Gesellschaft zur Verfolgung von Urheberrechtsverletzungen e.V. (GVU) war ebenfalls unter Hinweis auf "laufende Ermittlungen" zu keiner Stellungnahme bereit. Allerdings scheint sich der Tatvorwurf nicht immer "nur" auf eine Verletzung von Urheberrechtsgesetzen zu beschränken. So wird offenbar im Zusammenhang mit den für den Vertrieb der Raubkopien genutzten FTP-Servern auch wegen des Verdachts der Computersabotage ermittelt.

Schon seit den ersten Tagen abgefilmter Kinohits im Internet fanden und finden sich diese auch auf FTP-Servern, die gemeinhin ausreichend Platz für komplette Filme bieten. Oft handelt es sich dabei um Server, die anonymen Zugriff für Up- und Download gewähren; aber auch gehackte Server dienen als Umschlagsplatz. In den vergangenen Jahren hatten insbesondere Uni-FTP-Server an Wochenenden mit massiven Uploads von Warez und Moviez zu kämpfen. Ebenso wie bei Tauschbörsen liegen Filme und große Software-Pakete meist am Stück vor -- die Suche nach fehlenden Teilen entfällt. Auf häufig anmeldepflichtigen Boards -- so genannten FXP-Foren, benannt nach dem für Datenschiebereien zwischen FTP-Servern oft genutzten File Exchange Protocol (FXP) -- geben registrierte Teilnehmer Adressen von FTP-Servern bekannt. (nij/c't)

Quelle: http://www.heise.de/newsticker/meldung/45621

Stefan · 17.03.2004

Schweizer Behörde lässt Internet-Site abschalten

Das Kantonale Untersuchungsrichteramt Thurgau in der Schweiz hat wegen des Verdachts des Verstoßes gegen das Urheberrechts- und das Markenschutzgesetz eine Internet-Site abschalten lassen. Sie habe als Plattform für Angebote von Tauschbörsen gedient, heißt es in einer Mitteilung. Gegen den Betreiber aus Frauenfeld läuft ein Verfahren. Nach einer Anzeige von großen Firmen, die durch die Schweizerische Vereinigung zur Bekämpfung der Piraterie (SAFE) vertreten werden, habe das Kantonale Untersuchungsrichteramt Thurgau eine Untersuchung eröffnet.Die Server wurden beschlagnahmt und die Site abgeschaltet.

Die Internet-Site, mit der die Polizei wohl sharereactor.com meint, sei rund 30 Monate online gewesen und habe zuletzt durchschnittlich rund 220.000 Zugriffe täglich gezählt. Die in Suchmaschinen hochrangierte Site funktionierte als "Drehscheibe für Links zum Download vorwiegend von urheber- und markenrechtlich geschützten Computerspielen und Filmen, die auf Angebote von Peer-to-Peer-Tauschbörsen führten", heißt es weiter. Der Betreiber habe sich in den ersten Befragungen "sehr kooperativ" verhalten. (anw/c't)

Quelle: http://www.heise.de/newsticker/meldung/45620

Fireglider · 18.03.2004

Mindestens drei überfällige Windows-Patches

[Microsoft Windows] (http://www.heise.de/newsticker/meldung/45473) Die Sicherheitsfirma eEye Digital Security hat eine Seite mit Angaben zu derzeit noch offenen Sicherheitslücken veröffentlicht, von denen eEye drei Windows-Probleme mit dem Vermerk Severity: High versah. Über zwei dieser kritischen Windows-Lücken habe man Informationen vor über einem halben Jahr an Microsoft weitergeleitet.

Die Probleme betreffen laut eEye Basisfunktionen von Windows NT/2000/XP und auch Windows 2003 Server; sie lassen sich nach Angaben der Firma so ausnutzen, dass ein Angreifer übers Netz Code ausführen kann. Eine dritte – vor fünf Monaten bei Microsoft gemeldete Lücke – stuft eEye ebenfalls als kritisch ein; sie betrifft nur Windows 2000 und XP. Weitere Details zur Natur der Schwachstellen gibt eEye derzeit noch nicht preis.

Microsoft bestätigte gegenüber heise Security, dass man die Seite und die dort aufgeführten Probleme kenne. Sie würden derzeit untersucht, es sei aber bereits klar, dass zumindest Anlass zur Besorgnis bestehe. Auf einen Erscheinungstermin für Patches wollte sich Microsoft jedoch noch nicht festlegen. Auf der eEye-Seite werden auch offene Sicherheitsprobleme in Produkten anderer Hersteller, unter anderem von Symantec und ISS, aufgelistet, bei denen die Sicherheitsexperten aber Patches noch nicht als überfällig bezeichnen. Zu diesen Sicherheitsproblemen liegen noch keine Stellungnahmen der Hersteller vor.

http://www.rotalarm.de/

12:00 CET

Weiterer Beagle-Gelbalarm

[Trojaner & Backdoors] (http://www.bsi.bund.de/av/vb/beaglem.htm) W32.Beagle.M@mm alias PE_BAGLE.N, W32/Bagle.n@MM, Bagle.N, Win32.Bagle.N, W32/Bagle-N ist ein Massenmailer-Wurm, der sich über seine eigene SMTP-Maschine versendet. Wie seine Vorgänger installiert der Wurm eine Backdoor und infiziert zusätzlich .EXE-Dateien.

Dem Anwender wird in der gefälschten Absenderadresse eine vertrauenswürdige Stelle in der eigenen (Empfänger-) Domain vorgespielt (Beispiel: support@Empfänger-Domain). Bei Privatanwender ist der Domain-Name üblicherweise der Name des Providers (Beispiel: [email protected], [email protected]). Bei der angehängten Datei handelt es sich um eine .PIF-Datei, oder um ein ZIP- oder RAR-Archiv. Die Archive können mit einem Kennwort geschützt sein. Dann wird im Nachrichtentext das Kennwort als Grafik mitgeliefert.

Deutsche Anwender sollten spätestens dann misstrauisch werden, wenn eine englischsprachige Mail von einem deutschen Anbieter kommt. Generell verschicken ISPs auch keine Mails mit Datei-Anhängen. Der Name des Anhangs endet auf .PIF, .ZIP oder .RAR, die Größe des Anhangs variiert zwischen 21 und 22 kB.

Einmal aktiviert sucht der Wurm E-Mail-Adressen in zahlreichen Dateien, kopiert sich im infizierten System unter %System%\winupd.exe, %System%\winupd.exeopen, %System%\winupd.exeopenopen und %System%\winupd.exeopenopenopen. Mit einem Registrierungs-Schlüssel wird Beagle.M beim Rechnerstart aktiviert. Eine Backdoor wird installiert und öffnet auf dem infizierten Computer den TCP-Port 2556. Beagle.M infiziert .EXE-Dateien auf allen lokalen Laufwerken. Weiterhin versucht der Wurm viele Prozesse zu beenden und kopiert sich in Netzwerkfreigaben, die den Wortteil shar enthalten. Dies trifft beispielsweise für die Tauschbörse KaZaA zu.

http://www.rotalarm.de/

10:07 CET

Neue Welle mit gefälschten Visa-Warnungen

[Cyber-Crimes] (http://www.heise.de/newsticker/meldung/45432) Derzeit kursiert erneut eine E-Mail, die versucht, Kreditkarten-Informationen von Visa-Kunden zu erschleichen, indem sie vor angeblichem Missbrauch warnt. Die Kreditkarte des Empfängers, beziehungsweise deren Nummer, sei gestohlen worden, behauptet in der Mail angeblich der Visa Service. Um falsche Abbuchungen zu vermeiden, solle er ein Formular des "Zero Liability"-Programms ausfüllen. Die Web-Seite, auf die die bei heise Security eingetroffenen Mails verweisen, wurde bereits von KT Web Hosting gesperrt. Es ist jedoch nicht auszuschließen, dass Mails mit anderen, noch funktionierenden URLs unterwegs sind.

Nachdem mit Microsofts Patch aus MS04-004 – Kumulatives Sicherheitsupdate für Internet Explorer (832894) – die Angabe von irreführenden Benutzernamen wie http://[email protected] nicht mehr funktioniert, wenden die Betrüger einen neuen Trick an, um die echte Zielseite zu verbergen. Die URL in den bei Heise eingegangenen Mails verweist eigentlich auf http://www.demospeople.com. Allerdings ist dies selbst dem HTML-Quelltext so nicht zu entnehmen, da er sie nur in codierter From enthält: http://%77%77%77%2E%64%65%6D%6F%73%70%65%6F%70%6C%65%2E%63%6F%6D Grundsätzlich sollte man solchen Warnungen per E-Mail sowieso mit einer gehörigen Portion Skepsis begegnen. Insbesondere direkte Links zu externen Seiten führen dabei häufig zu den Web-Seiten von Betrügern. Eine genaue Untersuchung der URLs zeigt jedoch, dass man nicht auf die Seiten des angeblichen Absenders geleitet wird.

http://www.rotalarm.de/

08:59 CET

Buffer Overflow in Python 2.2

[ASP, JSP, SQL, CGI, PHP...] (http://www.heise.de/newsticker/meldung/45381) Debian meldet ein Sicherheitsloch in Python 2.2, durch das Speicher auf dem Stack überschrieben werden kann. Der Fehler besteht in der Funktion getaddrinfo() im Zusammenspiel mit IPv6-Adressen: Ein Angreifer von außen kann durch Übermittlung einer speziell präparierten IPv6-Adresse über einen DNS-Server den Stack auf Rechnern mit Python 2.2 überschreiben. Sebastian Schmidt hat den Fehler gefunden, betroffen sind Python 2.2 und 2.2.1, wenn die IPv6-Unterstützung nicht aktiviert ist. Bei Debian ist nur der Stable-Tree (woody) betroffen; dafür steht ein aktualisiertes Paket zur Verfügung. In der aktuellen Python-Version 2.3 ist das Problem behoben, womit auch der Unstable-Tree von Debian (sid) von der Schwachstelle nicht betroffen ist.

http://www.rotalarm.de/
###

Buffer Overflows in CA Unicenter TNG Utilities

Dave Aitel von Immunity warnt vor diversen Buffer-Overflows in den Unicenter TNG Utilities von Computer Assciates. Das Toolset zur Software-Verwaltung enthält diverse Dienste, die auf Client-Systemen installiert werden. Insbesondere die Programme cam.exe und awservices.exe weisen laut Aitel mehrere Buffer-Overflow-Schwachstellen auf, die sich übers Netz ausnutzen lassen. Betroffen seien alle Versionen 2.4, in 2.5 habe CA die Probleme behoben.

Die untersuchten Programme nutzen an mehreren Stellen die gefährlichen C-Funktionen strcpy() und strcat(). Daraus schliesst Aitel, dass auch andere Unicenter-Dienste ähnliche Probleme aufweisen. Er empfiehlt deshalb Firmen, die Unicenter einsetzen, ein gründliches Source-Code-Audit durch eine Security-Firma ihres Vertrauens.

Siehe dazu auch:

Security Advisory von Immunity

http://www.heise.de/security/news/meldung/45619

++++

Schwachstelle in Sicherheitsmodul für Apache

Im Modul mod_security für Apache 2.x ist nach Angaben des Sicherheitsdienstleisters S-Quadra ein Fehler enthalten, mit dem ein Angreifer eigenen Code über das Netzwerk in das System schleusen und ausführen kann. Schuld ist die fehlerhafte Verarbeitung von HTTP-POST-Requests, wenn die Option SecFilterScanPost aktiviert ist. Manipulierte Anfragen können einen Buffer Overflow provozieren.

Betroffen ist ModSecurity 1.7.4 für Apache 2.x. Die fehlerbereinigte Version 1.7.5 steht zum Download zur Verfügung. ModSecurity ist ein Open Source Intrusion-Detection-and-Prevention-Modul zum Schutz von Webapplikationen vor Angriffen.

Siehe dazu auch:

Security Advisory von S-Quadra
ModSecurity 1.7.5

http://www.heise.de/security/news/meldung/45641

####

Sicherheitslücke in FTP-Client WS_FTP Pro

Auf Bugtraq ist ein Advisory erschienen, das einen Fehler im Windows-FTP-Client WS_FTP Pro beschreibt, mit dem ein Angreifer den Client zum Absturz bringen oder beliebigen Code einschleusen und ausführen kann. Bei der Übermittlung von Verzeichnis-Daten im ASCII-Mode von einem FTP-Server an den Client provoziert ein mehr als 260 Bytes langer Name ohne abschließendes CR/LF einen Buffer Overflow. Um den Fehler auszunutzen, muss ein Angreifer allerdings einen FTP-Server entsprechend manipulieren.

Betroffen ist WS_FTP Pro 8.0.2 und 7.6.2.0 sowie frühere Versionen. Der Hersteller IPSwitch ist über das Problem informiert und hat eine neue Version 8.0.3 zur Verfügung gestellt. In der "Evaluation Version" soll der Fehler allerdings immer noch vorhanden sein.

Siehe dazu auch:

Security Advisory auf Bugtraq

http://www.heise.de/security/news/meldung/45646

####

Microsoft: WUS statt SUS 2.0

Die nächste Ausgabe des lokalen Update-Servers für Windows-Netzwerke wird Windows Update Services (WUS) heißen. Der Nachfolger der Software Update Services (SUS) soll auch Patches für das Office-Paket und den SQL- und Exchange-Server verteilen können. Eine Übersicht der neuen Funktionen zeigt bereits ein Word-Dokument auf der neuen WUS-Homepage. Die Software habe nun Beta-Status erreicht und werde noch in diesem Jahr erscheinen, gab Microsoft auf einer Konferenz in Las Vegas bekannt.

SUS 2.0 hatte Microsoft eigentlich bereits für Anfang 2004 angekündigt. Die Server-Software überträgt die Sicherheits-Updates bei Microsoft und versorgt damit die Windows-PCs in einem lokalen Netz. Administratoren können damit bequem steuern, welche Updates ihre Clients selbstständig installieren sollen.

http://www.heise.de/security/news/meldung/45657

###

Fireglider · 18.03.2004

Symantec-Sicherheitsreport: Schwachstellen werden immer schneller ausgenutzt

Symantecs Internet Security Threat Report beleuchet das zweite Halbjahr 2003 und versucht Trends bei netzwerkbasierten Attacken, Schwachstellen, Viren und Würmern zu skizzieren. Die dabei verwendeten Daten stammen von Kunden des Symantec Managed Security Service sowie von mehr als 20.000 Sensoren des DeepSight-Threat-Management-Systems, das Angriffsaktivitäten in über 180 Ländern überwacht.

Laut Report habe sich die Zahl neuer Schwachstellen auf hohem Niveau eingependelt, wobei viele der neu entdeckten Lücken den Fernzugriff auf Systeme ermöglichten. Zudem schrumpfe die Zeit zwischen der Entdeckung beziehungsweise Veröffentlichung einer Schwachstelle und der Entwicklung eines dazu passenden Exploits. Dieser Trend ließe die Vermutung zu, dass die Zahl so genannter Zero-Day-Exploits zunehmen werde, bei denen zwar ein Exploit schon verfügbar, die Schwachstelle aber noch nicht öffentlich bekannt sei -- und auch keine Patches zur Verfügung stehen würden.

In 2003 wurden etwas mehr Schwachstellen als in 2002 entdeckt: Symantec dokumentierte 2.636 Schwachstellen (gegenüber 2.587 in 2002), das entspricht sieben Schwachstellen pro Tag. Die Zahl von Schwachstellen mit mäßigem Bedrohungsgrad stieg von durchschnittlich 98 pro Monat in 2002 auf durchschnittlich 115 pro Monat in 2003. Darüber hinaus wurden 70 Prozent der in 2003 entdeckten Schwachstellen als leicht ausnutzbar eingeschätzt (im Vergleich zu 60 Prozent in 2002). Der Prozentsatz der Schwachstellen, für die schädlicher Programmcode öffentlich erhältlich war, wuchs um 5 Prozent, für Schwachstellen, die keine spezialisierten Tools zu ihrer Ausnutzung bedurften, sogar um 6 Prozent.

Die Zahl der Schwachstellen im Microsoft Internet Explorer ist Symantec zufolge von 20 in der ersten Jahreshälfte auf 34 in der zweiten angestiegen. Das entspricht einer Zunahme von 70 Prozent. Viele dieser Schwachstellen erlauben es Angreifern, die Systeme von Anwendern unter ihre Kontrolle zu bringen und Trojaner, Dialer und Würmer darauf zu platzieren. Der Besuch einer manipulierten Website reicht dazu aus. Grund zur Besorgnis gibt dieser Trend vor allem aufgrund der Marktdominanz des Internet Explorer.

So genannte "komplexe Bedrohungen" waren dem Report nach für einige der bedeutendsten Sicherheitsvorfälle des Jahres 2003 verantwortlich. Im August wurde das Internet in nur 12 Tagen mit drei neuen Würmern -- Blaster, Welchia und Sobig.F -- der zweithöchsten Bedrohungsstufe überschwemmt. Ihre hohe Verbreitungsgeschwindigkeit wurde durch gestiegene Netzwerkbandbreiten und verringerte Latenzzeiten begünstigt. Die Würmer infizierten Millionen von Computern weltweit und sollen Schäden in Milliardenhöhe verursacht haben.

Insgesamt nahm im zweiten Halbjahr 2003 die von Symantec entdeckte Zahl von Win32-Viren und -Würmern im Vergleich zum zweiten Halbjahr 2002 um das Zweieinhalbfache zu. Unter den Top Ten des bösartigen Codes hat der Anteil an Würmern mit eigener Mail-Engine (SMTP-Massenmailer) um 61 Prozent gegenüber der ersten Jahreshälfte 2003 zugelegt. Da solche Würmer zum Versenden der Mails nicht auf das E-Mail-System des Anwenders zurückgreifen, gibt es nur wenige Indizien für eine aktive Infektion.

Hacker und Würmer visieren zunehmend Hintertüren im System an, die von anderen Angreifern oder Würmern zurückgelassen werden: Im Januar 2004 begann MyDoom sich ähnlich schnell wie Sobig.F zu verbreiten, indem er infizierte Systeme über eine Backdoor befiel und von dort eine gezielte Attacke ausführte. Zwei neue Würmer, Doomjuice und Deadhat, die MyDoom folgten, verbreiteten sich über die Backdoor, die MyDoom hinterlassen hatte. Durch die Nutzung solcher Backdoors können aber auch Angreifer die Kontrolle über Systeme erlangen und eigene Schlupflöcher einrichten oder das infizierte System für eine Distributed-Denial-of-Service-Attacke ausnutzen.

Siehe dazu auch:

Der vollständige Report für das 2. Halbjahr 2003 ist über das Pressezentrum von Symantec einsehbar: Symantecs Internet Security Threat Report
Sicherheitsreport von Symantec, 1. Halbjahr 2003

http://www.heise.de/security/news/meldung/45663
+++++

Europas Sicherheitsagentur geht online

Die europäische Sicherheitsagentur ENISA (European Network Information Security Agency), ist seit gestern online. Die Aufgabe der Agentur liegt laut der Verordnung (EC) No 460/2004 (PDF) vor allem darin, Kommission und Mitgliedsstaaten in Fragen der Netzsicherheit zu beraten, laufend Daten zur aktuellen Situation in den Netzen zu sammeln und Empfehlungen zur Erhöhung der Sicherheit zu machen.

Mit der Veröffentlichung der Verordnung kann nun die Suche nach dem Personal offiziell beginnen. In Kürze, so heißt es auf der Webseite, wird insbesondere die Stelle des Direktors ausgeschrieben. Bis zum 5. Mai läuft dann die Bewerbungsfrist. Kandidaten würden aufgrund ihrer "nachgewiesenen Verwaltungs- und Management-Fähigkeiten ebenso wie ihrer Kompetenz und Erfahrung im Bereich Netzwerks- und Informationssicherheit ernannt".

Sitz der Agentur ist Griechenland, der künftige Chef soll dezidiert aus einem anderen Mitgliedsland kommen. Der Direktor wählt seine unmittelbaren Mitarbeiter nach seiner Ernennung durch das Management Board selbst aus. In diesem Hauptaufsichtsgremium sind in erster Linie die Mitgliedsstaaten vertreten, je ein Interessensvertreter aus der IT-Branche, von Verbraucherschutzgruppen und aus dem akademischen Bereich haben hier nur Beobachterstatus. Diese Verteilung der Gewichte hatte zu Debatten bei der Entscheidung über die Agentur geführt. (Monika Ermert) /

http://www.heise.de/security/news/meldung/45752

++++

Raubkopierer drangen in 11.800 Server ein

Das Bundeskriminalamt und die Staatsanwaltschaft Köln haben zu den am Dienstag durchgeführten Aktionen gegen Raubkopierer nun eine gemeinsame Pressemitteilung herausgegeben. Derzufolge wurden am 16. März in 15 Bundesländern insgesamt 132 Hausdurchsuchungen bei Mitgliedern des LiquidFXP-Forums durchgeführt. Sie stehen im Verdacht, illegale Kopien von Filmen und Software anzubieten sowie Computersabotage und unberechtigte Datenveränderungen begangen zu haben. In so genannten FXP-Foren, benannt nach dem für Datenschiebereien zwischen FTP-Servern oft genutzten File Exchange Protocol (FXP), wird die Software zum Download angeboten.

Unter anderem sollen die Mitglieder in 11.820 Server in 83 verschiedenen Staaten eingedrungen sein und dort eigene FTP-Server zum Vetrieb der Raubkopien installiert haben. In Deutschland seien insgesamt 619 Server von 344 verschiedenen Firmen und Institutionen gehackt worden, bei denen das BKA und die Staatanswaltschaft heute 337 weitere Hausdurchsuchungen zur Beweissicherung vollstrecken will. Insgesamt sollen der Gruppierung 476 Mitglieder aus 33 Staaten angehören, die jeweils unterschiedliche Aufgaben erledigten: Scannen, Hacken und Uploaden.

Laut Pressemitteilung hat man in Deutschland 126 Verdächtige identifiziert, gegen die sich die bereits durchgeführten Durchsuchungen richtete. Die Ermittler waren auf die illegalen Aktivitäten im Rahmen der Untersuchungen eines Kreditkartenbetruges gestoßen. Bei der Analyse der gesicherten Daten habe man dann den konkreten Einblick in Aufbau, Organisation und Tätigkeiten des Forums erhalten.

http://www.heise.de/security/news/meldung/45739

+++++

Neuer Windows-Wurm Bagle.Q nutzt Lücke im Internet Explorer aus

Bei der neuen Q-Variante des Bagle-Wurms reicht es bereits aus, eine Mail zu lesen, um sich zu infizieren. Anders als bisherige Bagle-Versionen versendet sich der Wurm nicht als Anhang einer Mail, sondern lädt sich über einen Link in der Mail selbst nach. Ist beispielsweise unter Outlook die HTML-Ansicht von Mails aktiviert, so lädt die Mail über einen versteckten Link eine HTML-Datei aus dem Internet nach. Um den PC eines Anwenders ohne dessen Interaktion zu infizieren, macht sich der Wurm eine seit längerem bekannte Lücke (MS03-040) im Internet Explorer zu Nutze: Die Object-Tag-Schwachstelle ermöglicht es Angreifern, ausführbare Dateien auf den PC eines Opfers zu laden und in dessen Kontext auszuführen. Ob der eigene Rechner über diese Lücke angreifbar ist, können Anwender mit dem c't-Browsercheck überprüfen.

In der nachgeladenen HTML-Datei steckt ein Visual-Basic-Skript Q.VBS, welches den eigentlichen Wurm (directs.exe) nachlädt -- dazu sind annähernd 600 IP-Adressen voreingestellt. Von infizierten Systemen versendet sich der Wurm mit gefälschtem Absender an Empfängeradressen, die er in diversen Dateien gefunden hat, und verwendet dabei verschiedene englischsprachige Texte. Außerdem verbreitet er sich über Peer-to-Peer-Tauschbörsen. Über eine Schadroutine verfügt der Wurm nicht, eine Hintertür öffnet er nach derzeitigem Kenntnisstand nicht.

Einige Hersteller haben ihre Signaturen zum Erkennen des Wurms bereits aktualisiert. Trend Micro stuft das Risiko bereits als "medium" ein, bei NAI ist bislang nur Stufe "low" erreicht. Anwender sollten die HTML-Ansicht ihres E-Mails-Clients deaktivieren und zusätzlich das Nachladen von Inhalten abschalten. Auch sollte der Patch zum Stopfen der Lücke im Internet Explorer eingespielt werden, sofern nicht schon geschehen. Weitere Hinweise zu Viren und Würmern finden Sie auf den Antiviren-Seiten von heise Security.

Siehe dazu auch:

Virenwarnung von Trend Micro
Virenwarnung von NAI
Virenwarnung von F-Secure

+++

Schwachstellen in OpenBSDs VPN-Dienst

In isakmpd, der OpenBSD-Implementierung des ISAKMP-Protokollrahmens zum Aufbau und Betrieb von IPSec-VPNs, sind mehrere Fehler enthalten. Angreifer können mit speziellen ISAKMP-Paketen den Dienst zum Absturz bringen. Betroffen sind OpenBSD 3.3 und 3.4. Das OpenBSD-Team hat Patches für 3.3-stable und 3.4-stable zum Download bereit gestellt.

Siehe dazu auch:

Security Advisory auf Securitytracker

http://www.heise.de/security/news/meldung/45706

++++++

Fireglider · 18.03.2004

Weitere Schwachstellen in OpenSSL

In OpenSSL sind zwei Schwachstellen enthalten, mit denen ein Angreifer über das Netzwerk den Dienst zum Absturz bringen kann. Angreifer können beide Fehler mit manipulierten SSL/TLS-Paketen provozieren. Je nach Applikation führt der Absturz von OpenSSL zu einem Denial-of-Service. Die OpenSSL-Bibliotheken ermöglichen die Verschlüsselung von Verbindungen für Web, E-Mail und andere (Internet-)Dienste, das Open-Source-Paket wird von vielen Produkten und Systemen genutzt.

Der erste Fehler findet sich in der Funktion do_change_cipher_spec(), die OpenSSL beim SSL-Handshake einsetzt. Betroffen sind die Versionen 0.9.6.c bis einschließlich 0.9.6k, sowie 0.9.7a bis einschließlich 0.9.7c. Der zweite Fehler befindet sich in einer Handshake-Funktion zur Aushandlung von Kerberos-Parametern, allerdings verwenden die wenigsten Applikationen den Authentifizierungs-Dienst Kerberos. Betroffen sind hier 0.9.7a bis einschließlich 0.9.7c. Die Entwickler von OpenSSL empfehlen auf die Versionen 0.9.7d oder 0.9.6m zu wechseln.

Während eines Tests haben die Entwickler von OpenSSL einen weiteren Fehler in 0.9.6-Versionen entdeckt, der ebenfalls zum Absturz führen kann. Allerdings ist die Lücke seit 0.9.6d behoben, weshalb die Schwachstelle im OpenSSL-Advisory nicht explizit aufgeführt ist (siehe dazu das Advisory des NISCC). Die meisten Linux-Distributoren haben bereits neue OpenSSL-Pakete zur Verfügung gestellt, ebenso wie die Teams von OpenBSD und FreeBSD. Cisco weist in einem eigenen Advisory auf seine verwundbaren Produkte hin.

Siehe dazu auch:

Security Advisory von OpenSSL
Security Advisory vom NISCC

http://www.heise.de/security/news/meldung/45700

Fireglider · 24.03.2004

News vom 19.03.2004

Bagle.Q beschreitet neue Verbreitungswege

[Viren & Würmer] Kein verräterischer Dateianhang (http://CERT.Uni-Stuttgart.DE/ticker/article.php?mid=1185) Die Q- bzw. O-Variante des Bagle/Beagle-Wurms alias W32.Beagle.O@mm, W32.Bagle.Q, Bagle.Q, W32/Bagle.q@MM, W32/Bagle.Q, W32/Bagle-Q, PE_Bagle.Q verbreitet sich nicht mehr, indem sie sich als Attachment selbst verschickt.

Der Schädling verschickt vielmehr eine "Carrier" E-Mail-Nachricht, die beim Öffnen eine Schwachstelle des Internet Explorers – sofern der IE zur Betrachtung von HTML-Nachrichten verwendet wird – ausnutzt und dann versucht, den eigentlichen Wurmcode über den TCP-Port 81 des Systems, von dem die "Carrier" Nachricht empfangen wurde, zu laden. Die ausgenutzte Schwachstelle wurde bereits im Microsoft Security Bulletin MS03-040 – Cumulative Patch for Internet Explorer (828750) – beschrieben, Patches sind seit Oktober 2003 verfügbar. Bagle.Q/Beagle.Q versucht auch, sich wie frühere Varianten über P2P-Netzwerke zu verbreiten.

http://www.rotalarm.de/

12:45 CET

BSI warnt: Dialer nutzt Windows-Nachrichtendienst

[Cyber-Crimes] Nachrichtentext erwähnt BSI, um Seriosität vorzugaukeln (http://www.golem.de/0403/30371.html) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt aus aktuellem Anlass vor einem Dialer, der eine Nachricht über den Windows-Nachrichtendienst versendet. Der dann erscheinende Text suggeriert, dass man auf einer Webseite Hilfe gegen den aktuellen NetSky-Wurm erhalte. Um Seriosität vorzutäuschen, wird das BSI im Text erwähnt, was Opfer in Sicherheit wiegen soll und diese zum Aufruf der angegebenen Webseite bringen soll.

Wird die im Nachrichtentext angegebene URL geöffnet, nistet sich eine Dialer-Software auf dem Computer ein. Der Nutzer muss dazu zwar mehrere Dialoge bestätigen, bevor sich der Dialer im System einnistet, allerdings dürften unbedarfte Anwender dies womöglich nicht lesen und sich so diesen Dialer installieren, in dem Glauben, etwas für die Sicherheit des eigenen PCs zu tun. Über den Windows-Nachrichtendienst werden Mitteilungen an Personen über die IP-Adresse versendet, wenn dieser Dienst nicht deaktiviert wurde. In der Windows-Standard-Konfiguration läuft der Nachrichtendienst häufig.

Eine Anleitung zum Ausschalten des Windows-Nachrichtendienstes findet man bei www.trojaner-info.de.

http://www.rotalarm.de/

##

Wieder Sicherheitslücke in Intrusion-Prevention-Produkten von ISS

Der Sicherheitsdienstleister eEye hat einen weiteren Fehler in Produkten des Herstellers Internet Security Systems (ISS) zur Erkennung und Abwehr von Angriffen auf Serversysteme und Netzwerke -- so genannte Intrusion Detection/Prevention Systeme (IDS/IPS) -- gemeldet. Auch diesmal kann ein Angreifer mit manipulierten Paketen eigenen Code auf ein verwundbares System schleusen und im Systemkontext ausführen.

Schuld ist ein Buffer Overflows in den Parsing-Routinen des Protocol Analysis Module (PAM) zur Analyse des ICQ Instant Messaging Protocols. eEye weist in seinem Advisory darauf hin, dass ein einziges manipuliertes UDP-Paket ausreichen kann, um alle auf dem Weg liegenden verwundbaren Systeme zu kompromittieren. Das zuletzt gemeldete Sicherheitsloch in IDS-Produkten von ISS basierte auf einem Heap Overflow in den PAM-Routinen zu Decodierung von SMB-Verkehr.

Betroffen sind folgende Produkte:

RealSecure® Network 7.0, XPU 22.11 und frühere

RealSecure Server Sensor 7.0 XPU 22.11 und frühere

RealSecure Server Sensor 6.5 for Windows SR 3.10 und frühere

Proventia™ A Series XPU 22.11 und frühere

Proventia G Series XPU 22.11 und frühere

Proventia M Series XPU 1.9 und frühere

RealSecure Desktop 7.0 ebl und frühere

RealSecure Desktop 3.6 ecf und frühere

RealSecure Guard 3.6 ecf und frühere

RealSecure Sentry 3.6 ecf und frühere

BlackICE Agent for Server 3.6 ecf und frühere

BlackICE PC Protection 3.6 ccf und frühere

BlackICE Server Protection 3.6 ccf und frühere

Der Hersteller ISS hat bereits Patches für fast alle betroffenen Produkte zur Verfügung gestellt. ISS empfiehlt seinen Kunden dringend, die Updates zu installieren. Damit dürfte auch das Rätsel gelöst sein, auf welche Sicherheitslücken in Produkten von ISS sich die Ankündigung von eEye auf deren "Upcoming"-Seiten bezogen hatte. eEye hält dort eine Liste von nicht veröffentlichten Sicherheitslücken bereit, über die die Hersteller bereits informiert sind, um an Patches zu arbeiten.

Siehe dazu auch:

Security Advisory von eEye

Security Advisory von ISS

http://www.heise.de/security/news/meldung/45767

###

IPSec-Implementierung FreeS/WAN bekommt Verstärkung

Andreas Steffen, langjähriger Maintainer der X.509-Patches für FreeS/WAN, hat angekündigt, ein eigenes Nachfolgeprojekt namens StrongSwan zu starten. FreeS/WAN ist eine populäre IPSec-Implementierung für Linux; mit Internet Protocol Security lassen sich verschlüsselte und authentifizierte Verbindungen über das Internet realisieren und damit Netze und Rechner kostengünstig und sicher vernetzen. Das Entwicklerteam von FreeS/WAN hatte allerdings vor kurzem ankündigt, die Weiterentwicklung von FreeS/WAN einzustellen.

StrongSwan setzt nun auf das FreeS/WAN-Release 2.04 auf, läuft wahlweise mit den FreeS/WAN-Kernel-Erweiterungen KLIPS oder den nativen IPSec-Funktionen des 2.6er-Kernels und enthält die aktuelle Version der X.509-Patches für den Einsatz von X.509-Zertifikaten. Des weiteren kommen NAT-Traversal und die Verschlüsselungsverfahren AES, Serpent, Blowfish und Twofish hinzu.

Die X.509-Erweiterungen funktionierten seit Jahren stabil und wurden im wesentlichen aus politischen Erwägungen nicht in FreeS/WAN integriert. So hat Steffen sie über Jahre hinweg weiterentwickelt und immer wieder an den FreeS/WAN-Code angepasst. Nach dem Ende von FreeS/WAN hat er sich jetzt entschieden, ein eigenes Linux-IPSec-Projekt zu starten. Dabei will er den Schwerpunkt auf die einfache Konfiguration und Administration gerade in Bezug auf den Einsatz mit Zertifikaten und PKIs legen. Von einer direkten Zusammenarbeit mit dem bereits existierenden FreeS/WAN-Nachfolgeprojekt OpenSwan hat Steffen Abstand genommen. Das OpenSwan-Team hat zwar die X.509-Patches integriert, den Code aber dabei so weit verändert, dass eine Synchronisierung mit seinen Weiterentwicklungen zu aufwendig erschien.

http://www.heise.de/security/news/meldung/45769

###

CeBIT: SSL-Zertifikate am Heise-Stand

In Zusammenarbeit mit der Zertifizierungsstelle des deutschen Forschungsnetzes, dem DFN-CERT, bietet der Heise Zeitschriften Verlag auf der laufenden CeBIT (Halle 5, Stand E38) SSL-Zertifikate für Privatpersonen an. Mit Hilfe dieser Zertifikate kann eine verschlüsselte Verbindung zu einem Web-Server aufgebaut werden, es ist aber auch möglich, eine abgesicherte Verbindung zum eigenen POP3- oder IMAP-Server herzustellen.

Zertifikate können nur für Personen ausgestellt werden, die ein Internet-Angebot unter einer eigenen Domain betreiben, da der Domainname im Zertifikat enthalten ist. Die Ausgabe der Zertifikate ist nicht auf deutsche Domains beschränkt. Weitere Informationen dazu finden Sie auf der Homepage des DFN-CERT.

Am Stand abgegebene Zertifizierungsanträge für PGP-Schlüssel werden in diesem Jahr nicht nur von c't, sondern auch von der DFN-PCA bearbeitet. Sie können jedoch auch Schlüssel zertifizieren lassen, die bereits von einer der beiden Zertifizierungsstellen unterschrieben wurden. Bitte füllen Sie das Formular (Text/PDF) möglichst vorab aus.

http://www.heise.de/security/news/meldung/45783

#####

CeBIT: IT-Sicherheitslösung für den Mittelstand

Internet Security Systems (ISS, Halle 6, Stand F06) stellt eine neue IT-Sicherheitslösung für mittelständische Unternehmen vor. Für 3.500 Euro vereint das Gerät mit dem Namen Proventia M30 eine Firewall, Anti-Virus, VPN, Intrusion Prevention und Detection, Web-Filter sowie Anti-Spam unter einem Dach. Es ist ausgelegt auf Organisationen mit bis zu 500 Anwendern und ab sofort verfügbar.

http://www.heise.de/security/news/meldung/45795

###

CeBIT: Intrusion Prevention mit Open Source

Die Firma VarySys Technologies (Halle 17, Stand B12) präsentiert auf der CeBIT eine Vorabversion von PacketAlarm 4.0. Dabei handelt es sich um ein Intrusion-Detection- und Prevention-System auf Basis von Linux und Snort, die es hauptsächlich um zusätzliche Funktionen zur Administration erweitert.

Neu in der Version 4.0 ist die Option, PacketAlarm als Inline-IDS einzusetzen, es also so in den Datenstrom einzuklinken, dass es Angriffe direkt unterbinden kann. VarySys bietet PacketAlarm sowohl als Appliance im Rack-Format als auch als reine Software-Lösung an, die sich auf herkömmlicher PC-Hardware installieren lässt. Der Einstiegspreis liegt bei circa 5200 Euro für die Softwarelösung und enthält ein Jahr Updates für Software und IDS-Signaturen. Die Version 4.0 soll ab Mitte April verfügbar sein.

http://www.heise.de/security/news/meldung/45796

###

CeBIT: Trusted Computing im Notebook

Die Firma Utimaco Safeware (Halle 17 Stand F06) setzt bei den SafeGuard-Produkten auf den TPM-Standard der Trusted Computing Group (TCG). IBM baut im Rahmen seines Embedded-Security-Subsystems (ESS) bereits in die meisten Modellreihen insbesondere im Notebook-Bereich einen TPM-Chip ein. Dieser kann als eine Art interne Smartcard geheime Schlüssel und Passwörter aufnehmen und einen Rechner eindeutig in Firmennetzen identifizieren. Utimaco nutzt diese Infrastruktur für seine SafeGuard-Sicherheitslösungen. SafeGuard soll Firmen-Notebooks so absichern, dass die dort verschlüsselt gespeicherten Daten auch bei Verlust oder Diebstahl des Geräts nicht in fremde Hände gelangen können.

###

Fireglider · 24.03.2004

Weitere Details zu Service Pack 2 für Windows XP

Microsoft hat weitere Details zu den in Service Pack 2 geplanten Sicherheitsfunktionen für Windows XP bekannt gegeben. Das im Release Candidate 1 eingeführte Security Center etwa soll den Anwender darüber informieren, ob die XP-Firewall ausgeschaltet ist, ob ein installierter Virenscanner deaktiviert ist und wie es um aktuelle Windows-Updates bestellt ist. Im Infobereich der Taskleiste (neben der Uhr) erscheint dann ein warnendes Icon. Anders als in den Beta-Versionen ist nun auch der Pop-up-Blocker standardmäßig aktiviert. Microsoft hat auch die automatischen Sicherheits-Updates überarbeitet. Der integrierte Windows Update V5 RC1 soll zudem kleinere Patches ermöglichen, wie sie bisher in der Beta-Version des SP2 nur für Patches geplant waren, die mit den Windows Installer erstellt wurden.

Auch die Behandlung aus dem Internet heruntergeladener Dateien hat Microsoft noch einmal überarbeitet. Sowohl Dateianhänge in E-Mails als auch mit dem Internet Explorer angewählte Dateien kennzeichnet Windows als "aus dem Netz geladen" und warnt vor dessen Ausführung, auch wenn zwischen Download und Doppelklick mehrere Wochen vergehen. Selbst eine Datei, die aus einem ZIP-File ausgepackt und gespeichert wird, markiert Windows so. Eine spezielle neue API -- Attachment Execution Service (AES) -- stellt diese Funktionen auch für andere Applikationen zur Verfügung.

Um Angriffe über Buffer Overflows auch auf Plattformen zu erschweren, die nicht über neue 64-Bit-Prozessoren mit Execution-Protection verfügen, hat Microsoft nach eigenen Angaben Windows XP für 32-Bit-Plattformen mit dem sogenannten "/GS"-Flag in Visual Studio .NET neu kompiliert. Windows legt damit beim Aufruf von Funktionen spezielle Cookies (Canaries) auf dem Stack ab und überprüft, ob diese eventuell durch einen Buffer Overflow überschrieben wurden.

Das SP2 soll im Juni kommen. Mehr zum Service Pack 2 für Windows XP:

http://www.heise.de/security/news/meldung/45819

####

Buffer Overflow in Acrobat Reader

[online/Browser/Email] (http://enterprisesecurity.symantec.de/symes602.cfm?JID=5&PID=10416651) In Adobes Acrobat Reader kann ein Buffer Overflow auftreten.

Betroffen ist das so genannte XML Forms Data Format (XFDF): Sobald eine XFDF-Datei mit dem Acrobat Reader geladen und angezeigt wird, können Angreifer beliebigen Code auf dem attackierten System ausführen. Der Fehler ist besonders kritisch, weil externe XFDF-Dokumente möglicherweise direkt über den Internet Explorer in den Acrobat Reader geladen werden.

http://www.rotalarm.de/

12:41 CET

Sicherheitslücke in OpenSSL

[Kryptographie & Authentizierung] US-CERT TA04-078A – Neue Versionen von OpenSSL beheben das Problem (http://www.golem.de/0403/30365.html) Bei der Überprüfung von OpenSSL hat die OpenSSL-Group eine kritische Sicherheitslücke in ihrer Software entdeckt. Mit einem entsprechend präparierten SSL/TLS-Handshake gegen einen Server, der die OpenSSL-Bibliothek nutzt, lässt sich dieser dadurch zum Absturz bringen. Je nach der verwendeten Applikation könnte dies Denial-of-Service-Angriffe erlauben.

Betroffen sind alle OpenSSL-Versionen von 0.9.6c bis einschließlich 0.9.6l sowie 0.9.7a bis einschließlich 0.9.7c bzw. jede Applikation, die diese Bibliotheken verwendet. Die Entwickler empfehlen ein Update der Software auf die neu erschienenen Versionen OpenSSL 0.9.7d bzw. 0.9.6m. Zudem muss jede Applikation, die OpenSSL statisch linkt, neu kompiliert werden. Die neuen OpenSSL-Versionen stehen auf diversen Mirrors zum Download bereit.

http://www.rotalarm.de/

11:48 CET

Schwachstelle in Sicherheitsmodul für Apache

[Serverprogramme] S-Q A. #2004-03-15: ModSecurity 1.7.4 for Apache 2.x remote off-by-one overflow (http://www.heise.de/newsticker/meldung/45641) Im Modul mod_security für Apache 2.x ist nach Angaben des Sicherheits-Dienstleisters S-Quadra ein Fehler enthalten, mit dem ein Angreifer eigenen Code über das Netzwerk in das System schleusen und ausführen kann. Schuld ist die fehlerhafte Verarbeitung von HTTP-POST-Requests, wenn die Option SecFilterScanPost aktiviert ist. Manipulierte Anfragen können einen Buffer Overflow provozieren. Betroffen ist ModSecurity 1.7.4 für Apache 2.x. Die fehlerbereinigte Version 1.7.5 steht zum Download zur Verfügung. ModSecurity ist ein Open Source Intrusion-Detection-and-Prevention-Modul zum Schutz von Webapplikationen vor Angriffen.

http://www.rotalarm.de/

10:22 CET

Sicherheitslücken in SLMail

[online/Browser/Email] (http://enterprisesecurity.symantec.de/symes602.cfm?JID=6&PID=10416651) Der Mailserver SLMail Pro für Windows 2000 enthält zwei Sicherheitslücken. Die erste befindet sich im so genannten Supervisor Report Center. Angreifer können über spezielle http-Anfragen einen Buffer Overflow auslösen. Die zweite Lücke steckt in den ISAPI-Erweiterungs-Bibliotheken der Webmail-Komponente und kann ebenfalls zum Buffer Overflow führen. Betroffen sind SLMail Pro 2.0.9 und ältere Versionen.

http://www.rotalarm.de/

#####

CeBIT: Schily fordert mehr Sicherheit bei drahtlosen Netzwerken

Bundesinnenminister Otto Schily (SPD) hat eine verbesserte Sicherheit für drahtlose Internet-Verbindungen gefordert. Er verwies am Samstag auf Schätzungen von Experten, wonach bis 2006 allein in Europa rund 20 Millionen Menschen öffentliche Funk-Zugänge ins Netz (WLAN) nutzen werden. "Diese so genannten Hotspots bringen die Datenfunktechnik zu günstigen Preisen in die Fläche", sagte Schily in einem dpa-Gespräch. "Doch wir dürfen die Schattenseite dieser dynamischen Entwicklung nicht außer Acht lassen: Die Sicherheit hinkt der schnellen Ausbreitung dieser Technik hinterher."

Sorge bereitet dem Minister insbesondere, dass schätzungsweise die Hälfte aller Hotspots gegen Angriffe ungeschützt ist. "Wir müssen leider feststellen, dass viele Nutzer leichtsinnig sind. Sie aktivieren die von den Herstellern vorgesehenen Sicherheitsfunktionen häufig nicht und betreiben ihr WLAN oft völlig ungeschützt." Dadurch bestehe zum einen die Gefahr, dass die über das WLAN übermittelten Daten von Dritten mitgelesen würden, zum anderen könnten Hacker über das WLAN in die angeschlossenen ungeschützten Computer eindringen und Daten lesen, verändern oder löschen.

Schily betonte, ein grundsätzlicher Verzicht auf WLAN in sicherheitskritischen Umgebungen sei nicht erforderlich. "Allerdings sind zusätzliche Absicherungen notwendig." Der SPD-Politiker appellierte an die Hersteller drahtloser Computernetze, die Arbeiten an sicherem WLAN zu beschleunigen und den neuen, sicheren Standard nach dessen Verfügbarkeit schnellstmöglich umzusetzen. Bereits heute seien die Hersteller verpflichtet, Nutzer über bestehende Sicherheitsrisiken zu informieren und bei der Konfiguration und Implementierung der bekannten Schutzmöglichkeiten zu unterstützen. "Bei den wenigsten WLAN ist bei Auslieferung der Geräte die Verschlüsselung aktiviert. Warum eigentlich? Die Auslieferung der Geräte in einem möglichst sicheren Betriebszustand halte ich für eine Selbstverständlichkeit", sagte der Minister.

Eine Gesetzesinitiative gegen das Aufspüren von offenen Funknetzen, das so genannte War-Driving, hält Schily nicht für notwendig. "Das Suchen von offenen Funknetzen, in dem man mit Auto und eingeschaltetem Notebook mit WLAN-Karte herumfährt, ist noch keine Straftat, da auf offene Funknetze zugegriffen wird und keine weiteren Handlungen im Netz vorgenommen werden." Kämen weitere Tatbestandsmerkmale hinzu, könnten unter anderem das Ausspähen von Daten, Datenveränderung, Computersabotage oder Computerbetrug als mögliche Straftaten in Frage kommen. "Für diese Fälle gibt es in der deutschen Gesetzgebung bereits ausreichend Schutz für den Bürger." (dpa)

Sicherheit bei drahtlosen lokalen Kommunikationssystemen wie WLAN, Bluetooth und DECT ist einer der diesjährigen Themenschwerpunkte des Bundesamtes für Sicherheit in der Informationstechnik (BSI, Halle 17, Stand C02).

Siehe dazu auch auf heise security den Kommentar: Bluetooth ist nicht WLAN

(anm/c't)

http://www.heise.de/security/news/meldung/45828

####

Release Candidate 1 von XP-Service-Pack 2 zum Download

Microsoft bietet den Release Candidate 1 des Service Pack 2 (SP2) für Windows XP in englischer sowie in deutscher Sprache für jedermann zum Herunterladen an. Nun können auch Personen, die nicht am Betatest teilnehmen, die von Microsoft so genannte "Technical Preview" testen. In erster Linie will man Firmenkunden in die Lage versetzen, eigene Tests durchzuführen. Microsoft weist explizit darauf hin, dass SP2 derzeit nicht zum Einsatz in Produktivumgebungen geeignet ist.

Mit dem SP2 will Microsoft unter anderem ein "Security Center" in Windows XP integrieren. Dieses soll den Anwender beispielsweise darüber informieren, ob die XP-Firewall ausgeschaltet ist, ob ein installierter Virenscanner deaktiviert ist und wie es um aktuelle Windows-Updates bestellt ist. In RC1 des neuen Service Packs ist auch ein Pop-up-Blocker gegen nervende Werbung standardmäßig aktiviert.

Einen Gesamtüberblick über die neuen Sicherheitsfunktionen in Service Pack 2 bietet der heise-Security-Artikel Vergitterte Fenster

http://www.heise.de/security/news/meldung/45835

####

Norton Internet Security und Antispam verwundbar

Die Firma NGSsoftware hat zwei kritische Schwachstellen in den Symantec-Produkten Norton Internet Security und Norton Antispam entdeckt. Beide beruhen auf Fehlern in ActiveX-Controls, die mit den Produkten installiert werden. Da die Controls als "Safe for Scripting" markiert sind, können sie von beliebigen Web-Sites oder auch von speziell präparierten E-Mails missbraucht werden, um beliebigen Code auf den Systemen der Anwender auszuführen.

Bei Norton Antispam weist im Control SymSpamHelper die Methode LaunchCustomRuleWizard einen klassischen Buffer-Overflow-Fehler auf. Antispam ist auch Bestandteil von Norton Internet Security 2004, das mit WrapNISUM ein weiteres verwundbares ActiveX-Control enthält. Ein Angreifer kann dort die Methode LaunchURL missbrauchen, um den Browser beliebige Programme auf dem Rechner des Opfers starten zu lassen.

NGSsoftware schätzt beide Lücken als kritisch ein, lobt aber die prompte Reaktion des Herstellers, der innerhalb von zwei Wochen Updates zur Verfügung gestellt hat, die automatisch via LiveUpdate installiert werden.

Siehe dazu auch:

Security Advisory zu Internet Security von NGSsoftware
Security Advisory zu Antispam von NGSsoftware
Security Advisory von Symantec

http://www.heise.de/security/news/meldung/45852

###

Neue Apache-Version schließt weitere Sicherheitslücken

Die Apache Software Foundation hat die Apache-Version 2.0.49 veröffentlicht, die im Wesentlichen ein so genanntes "Bug Fix Release" ist. Sie behebt insbesondere drei Sicherheitsprobleme: Unter AIX, Solaris und Tru64 können Netzwerk-Sockets in bestimmten Situationen blockieren, sodass Clients keine weiteren Verbindungen zum Apache aufnehmen können. Außerdem ist es nun nicht mehr möglich, beliebige Zeichenketten in den Error-Log-File zu schreiben, die Schwachstellen bei der Ansicht der Logs in Terminal-Emulatoren ausnutzten. Auch einen Speicherfehler in mod_ssl haben die Entwickler beseitigt, der zu einem sehr hohen Speicherverbrauch und gegebenenfalls zu einem Denial-of-Service führte.

Siehe dazu auch:

Ankündigung auf apache.org

http://www.heise.de/security/news/meldung/45870

###

NEWS AUS DEM IT-SECURITY BEREICH

Fireglider

Fireglider

Juliet

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

Stefan

Stefan

Fireglider

Fireglider

Fireglider

Fireglider

Fireglider

NEWS AUS DEM IT-SECURITY BEREICH

ANGEBOTE & SPONSOREN

Neueste Beiträge

Statistik des Forums