s c i p a g Contents 1. Editorial scip monthly Security Summary 19.04.2012

scip monthly Security Summary 19.4.2 Contents 1. Editorial 2. scip AG Informationen 3. Neue Sicherheitslücken 4. Statistiken Verletzbarkeiten 5. Labs 6. Bilderrätsel 7. Impressum 1. Editorial Risikomanagement am Beispiel der Kernkraft Man erinnert sich ungern an die Zeit des Zwischenfalls in Fukushima. Zu real ist die Bedrohung, die von Zwischenfällen wie diesem ausgeht. Als die Ereignisse noch sehr frisch waren, wurden rege und emotional die Risiken von Kernkraftwerken diskutiert. Plötzlich schien sich jeder mit den Risiken entsprechender Lösungen auszukennen. Tatsächlich - und dies habe ich in meinem unmittelbaren Umfeld erfahren - wurde sehr viel Halbwissen und Unsinn erzählt. Ein Grossteil der Leute, die sich nicht mit Risikomanagement auskennen, haben für die rigorose Abschaltung sämtlicher Kernkraftwerke plädiert. Dem hatte ich jeweils nur ein Wort entgegenzusetzen: Wieso? Tragweite der Auswirkungen eines Zwischenfalls illustriert. Das Risiko der Eintrittswahrscheinlichkeit, und diese ist für die Erfüllung der Auswirkungen zwingend erforderlich, wurde noch nicht angesprochen. In den allermeisten Fällen ist jetzt der Zeitpunkt erreicht, bei dem sich die Leute argumentativ in die Enge gedrängt fühlen. Man bezieht sich dann schnell auf Fukishima, das nicht für die Situation von Erdbeben und Tsunami ausgerichtet wurde. Man habe bei der Erarbeitung der Anlage Risiken ignoriert. Offensichtlich konnte die Anlage nicht mit den besagten Ereignissen umgehen. Es handelt sich aber auch um ein bis dato einmaliges Ereignis, das sich statistisch nicht in offensichtlicher Weise voraussagen liess. Also eine Eventualität, die schlichtweg ignoriert werden musste. Ein gewisses Entsetzen zeichnet sich auf den Gesichtern meiner Gesprächspartner ab. Risiken ignorieren? Nein, sowas dürfe man niemals tun, wird dann gesagt. Doch wir tun es jeden Tag. Wir überqueren die Strasse, manchmal sogar abseits des Fussgängerstreifens, obwohl ein realistisches Risiko eines Unfalls besteht. Im Auto fahren wir mehr als 2 km/h, obwohl erst ab dieser Geschwindigkeit das Risiko eines Schleudertraumas besteht. usw. Das Leben besteht im Abschätzen, Vermindern und Akzeptieren von Risiken. Manche Risiken will man nicht akzeptieren. Manche Risiken kann man verringern. Kann oder will man gewisse Risiken nicht vermindern, spricht man von Restrisiken. Die spontanen Antworten waren, dass man Kernkraft schlichtweg nicht sicher betreiben könne. Und spätestens dann, wenn das Wort "sicher" gefallen ist, dann fühle ich mich in der Diskussion zu Hause. Denn so stellte ich die nächste Frage: Wieso ist es denn nicht sicher? Kernkraftwerke seien nicht sicher, weil sich bei einem Zwischenfall verheerende Folgen entfalten würden. Explosion und atomare Strahlung würden in unmittelbarer und langwieriger Weise zu Krankheit und Tod führen. Dem will ich nicht widersprechen, doch beantwortet es meine Frage nicht. Damit wird schliesslich nur die hohe Mit den Restrisiken muss man leben. Wollen wir Strom aus Kernkraft, dann müssen wir die Restrisiken akzeptieren. Betrachtet man die Eintrittswahrscheinlichkeit von gefährlichen Zwischenfällen, dann wurden die Risiken soweit sehr gut verringert. Sie aber gänzlich zu eliminieren, das bleibt auch hier - genauso wie beim Autofahren - schlichtweg nicht möglich. Wenn wir nun rigoros Kernkraft abschalten, dann müssten wir genauso rigoros Fussgänger und das Fahren mit mehr als 2 km/h verbieten. Und viele andere Sachen auch (Alkohol, Lifte/Treppen, Pilze, etc.). Stattdessen sollten wir 1/15

scip monthly Security Summary 19.4.2 den geplanten Ausstieg aus der Atomkraft angehen und endlich auf erneuerbare Energiegewinnung setzen. Die Rückkehr zu Kohlekraftwerken darf beispielsweise nicht passieren, denn dies wäre meines Erachtens ein schlimmer Rückschritt. Auch wenn das akute Risiko, wie man es von der Kernkraft her kennt, hier nicht bestehen bliebe. Marc Ruef <maru-at-scip.ch> Security Consultant Zürich, 19. März 2 2. scip AG Informationen 2.1 Penetration Test Das Ziel unserer Dienstleistung Penetration Test ist die Identifikation vorhandener Sicherheitslücken sowie die Definierung der Tragweite dadurch möglicher erfolgreicher Attacken durch Angreifer. Der Kunde hat ein abgesichertes System vorliegen, das er mittels Ethical Hacking untersucht haben möchte. Um eine wissenschaftliche und wirtschaftliche Optimierung des Auftrags erreichen zu können, wird eine Whitebox-Analyse empfohlen: Der Kunde legt nach Möglichkeiten sämtliche Details zum Zielobjekt offen (IP- Adressen etc.). Somit kann unser Red Team auf eine langwierige Datensammlung verzichten und stattdessen das Expertenwissen auf die Fachgebiete fokussieren. Das Umsetzen von Penetration Tests basiert zu grossen Teilen auf der systematischen Vorgehensweise, wie sie im Buch Die Kunst des Penetration Testing unseres Herrn Marc Ruef dokumentiert wurde. Scanning: Identifizieren von möglichen Angriffsflächen. Auswertung: Eingrenzen potentieller Angriffsvektoren, die sich im Rahmen eines konkreten Angriffsszenarios angehen lassen. Exploiting: Zielgerichtetes Ausnutzen ausgemachter Sicherheitslücken (Proof-of- Concept). Ein Penetration Test lässt eine konkrete und verlässliche Aussage bezüglich der existenten Sicherheit eines Systems zu. Die Ausnutzbarkeit von Schwachstellen sowie die Tragweite erfolgreicher Attacken können exakt bestimmt werden, wodurch sich weitere Schritte wie z.b. Risiken akzeptieren oder Gegenmassnahmen einleiten, planen lassen. Dank unserem ausgewiesenen Expertenwissen kann die scip AG auf eine Vielzahl von Penetration Tests auf unterschiedliche Plattformen, Applikationen und Lösungen zurückblicken. Zählen auch Sie auf uns! http://www.scip.ch/?firma.referenzenalle Zögern Sie nicht und kontaktieren Sie unseren Herrn Simon Zumstein unter der Telefonnummer +41 44 44 13 13 oder senden Sie im eine Mail an simon.zumstein@scip.ch. 2/15

scip monthly Security Summary 19.4.2 3. Neue Sicherheitslücken Die erweiterte Auflistung hier besprochener Schwachstellen sowie weitere Sicherheitslücken sind unentgeltlich in unserer Datenbank unter http://www.scip.ch/?vuldb einsehbar. Inhalt Das Dienstleistungspaket VulDB Alert System liefern Ihnen jene Informationen, die genau für Ihre Systeme relevant sind: http://www.scip.ch/?vuldb.alertsystem 3 25 15 5 2-3 2-4 sehr kritisch 3 kritisch 6 18 problematisch 249 125 5177 McAfee Web Gateway HTTP Header Host Field Parser CONNECT Request erweiterte Rechte 5176 Squid Proxy HTTP Header Host Field Parser CONNECT Request erweiterte Rechte 58 Microsoft SQL Server CREATE DATABASE SQL Injection 547 Microsoft.NET Framework Parameter Validator erweiterte Rechte 544 Microsoft Internet Explorer SelectAll Handler 543 Microsoft Internet Explorer OnReadyStateChange 542 Microsoft Internet Explorer JScript9 541 Microsoft Internet Explorer Printing 576 PHP html&#95error file&#95get&#95contents() Cross Site Scripting 563 Google Chrome Applying Style Command Handler 562 Google Chrome Media Handler [CVE-374] 561 Google Chrome SVG Resource Handler 559 Google Chrome HTMLMediaElement Handler 579 Cisco WebEx Player WRF File Handler 578 Cisco WebEx Player WRF File Handler atas32.dll 577 Cisco WebEx Player WRF File Handler atdl6.dll 553 Novell imanager Web Interface jclient Create Attribute 524 IBM Cognos TM1 Admin Server 511 TYPO3 Backend Cross Site Scripting [CVE-2-166] 4977 D-Link DCS-565 DcsCliCtrl.dll SelectDirectory() 4947 RealNetworks RealPlayer MP4 File Handler mp4fformat.dll 4949 Apache Struts File Upload XSLTResult.java XSLT File Command Injection 4955 Apache Traffic Server HTTP Header Parser 497 FreePBX callme&#95page.php erweiterte Rechte 3.1 McAfee Web Gateway HTTP Header Host Field Parser CONNECT Request erweiterte Rechte Datum: 13.4.2 VulDB: http://www.scip.ch/?vuldb.5177 Eine kritische Schwachstelle wurde in McAfee Web Gateway 7. entdeckt. Betroffen ist eine unbekannte Funktion der Komponente HTTP Header Host Field Parser. Durch das Beeinflussen durch CONNECT Request kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf die Integrität. Als bestmögliche Massnahme wird das Einsetzen von restriktivem Firewalling empfohlen. 3.2 Squid Proxy HTTP Header Host Field Parser CONNECT Request erweiterte Rechte Datum: 13.4.2 VulDB: http://www.scip.ch/?vuldb.5176 In Squid Proxy 3.1.19 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente HTTP Header Host Field Parser. Mittels dem Manipulieren durch CONNECT Request kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf die 3/15

scip monthly Security Summary 19.4.2 Integrität. Als bestmögliche Massnahme wird das Anwenden von restriktivem Firewalling empfohlen. 3.3 Microsoft SQL Server CREATE DATABASE SQL Injection Datum: 11.4.2 VulDB: http://www.scip.ch/?vuldb.58 In Microsoft SQL Server 5/8/8R2 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist die Funktion CREATE DATABASE. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine SQL Injection- Schwachstelle ausgenutzt werden. Dadurch lässt sich Datenbank zugreifen. Die genauen Auswirkungen eines erfolgreichen Angriffs sind bisher nicht bekannt. Ein Upgrade auf die Version MSSQL Server 8: apply SP3, MSSQL Server 8 R2: nofix, MSSQL Server 5: no fix. vermag dieses Problem zu beheben. Die Schwachstelle lässt sich auch durch das Einspielen des Patches SP3 beheben. Dieser kann von microsoft.com bezogen werden. Als bestmögliche Massnahme wird das Einspielen des entsprechenden Patches empfohlen. Das Erscheinen einer Gegenmassnahme geschah schon vor und nicht nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach vorab 3.4 Microsoft.NET Framework Parameter Validator erweiterte Rechte Datum: 1.4.2 VulDB: http://www.scip.ch/?vuldb.547 In Microsoft.NET Framework bis 4 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente Parameter Validator. Durch die Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit und Integrität. 3.5 Microsoft Internet Explorer SelectAll Handler Datum: 1.4.2 VulDB: http://www.scip.ch/?vuldb.544 In Microsoft Internet Explorer bis 9 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente SelectAll Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Dies hat Die Schwachstelle lässt sich durch das Einspielen des Patches KB2675157 beheben. Dieser kann von technet.microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach sofort 3.6 Microsoft Internet Explorer OnReadyStateChange Datum: 1.4.2 VulDB: http://www.scip.ch/?vuldb.543 Es wurde eine kritische Schwachstelle in Microsoft Internet Explorer bis 9 entdeckt. Dies betrifft eine unbekannte Funktion der Komponente OnReadyStateChange. Durch das Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Dies hat Die Schwachstelle lässt sich durch das Einspielen des Patches KB2675157 lösen. Dieser kann von technet.microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach sofort Die Schwachstelle lässt sich durch das Einspielen des Patches ms12-25 lösen. Dieser kann von technet.microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach sofort 3.7 Microsoft Internet Explorer JScript9 Datum: 1.4.2 VulDB: http://www.scip.ch/?vuldb.542 4/15

scip monthly Security Summary 19.4.2 Eine kritische Schwachstelle wurde in Microsoft Internet Explorer bis 9 entdeckt. Betroffen ist eine unbekannte Funktion der Komponente JScript9. Das Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Dies hat Die Schwachstelle lässt sich durch das Einspielen des Patches KB2675157 beheben. Dieser kann von technet.microsoft.com bezogen werden. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach sofort 3.8 Microsoft Internet Explorer Printing Datum: 1.4.2 VulDB: http://www.scip.ch/?vuldb.541 In Microsoft Internet Explorer bis 9 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente Printing. Durch die Manipulation mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Die Schwachstelle lässt sich durch das Einspielen des Patches KB2675157 lösen. Dieser kann von technet.microsoft.com bezogen werden. Das Problem kann zusätzlich durch den Einsatz von Google Chrome, Mozilla Firefox, Opera als alternatives Produkt mitigiert werden. Als bestmögliche Massnahme wird das Installieren des jeweiligen Patches empfohlen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Microsoft hat demnach sofort 3.9 PHP html&#95error file&#95get&#95contents() Cross Site Scripting Datum: 9.4.2 VulDB: http://www.scip.ch/?vuldb.576 Es wurde eine kritische Schwachstelle in PHP 5.3.1/5.4. entdeckt. Dies betrifft die Funktion file_get_contents() der Komponente html&#95error. Die Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Als bestmögliche Massnahme wird das Deaktivieren der betroffenen Komponente empfohlen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Die Entwickler haben demnach unmittelbar 3.1 Google Chrome Applying Style Command Handler Datum: 5.4.2 VulDB: http://www.scip.ch/?vuldb.563 Eine kritische Schwachstelle wurde in Google Chrome 18..125.142 entdeckt. Betroffen ist eine unbekannte Funktion der Komponente Applying Style Command Handler. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Ein Aktualisieren auf die Version 18..125.151 vermag dieses Problem zu lösen. Das direkt nach der Veröffentlichung der Schwachstelle. Google hat demnach sofort 3.11 Google Chrome Media Handler [CVE-374] Datum: 5.4.2 VulDB: http://www.scip.ch/?vuldb.562 In Google Chrome 18..125.142 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente Media Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Ein Upgrade auf die Version 18..125.151 vermag dieses Problem zu beheben. Das direkt nach der Veröffentlichung der Schwachstelle. Google hat demnach sofort 5/15

scip monthly Security Summary 19.4.2 3.12 Google Chrome SVG Resource Handler Datum: 5.4.2 VulDB: http://www.scip.ch/?vuldb.561 Es wurde eine kritische Schwachstelle in Google Chrome 18..125.142 entdeckt. Dies betrifft eine unbekannte Funktion der Komponente SVG Resource Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Ein Aktualisieren auf die Version 18..125.151 vermag dieses Problem zu lösen. Das direkt nach der Veröffentlichung der Schwachstelle. Google hat demnach sofort 3.13 Google Chrome HTMLMediaElement Handler Datum: 5.4.2 VulDB: http://www.scip.ch/?vuldb.559 In Google Chrome 18..125.142 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente HTMLMediaElement Handler. Durch die Manipulation mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Ein Aktualisieren auf die Version 18..125.151 vermag dieses Problem zu lösen. Das direkt nach der Veröffentlichung der Schwachstelle. Google hat demnach sofort 3.14 Cisco WebEx Player WRF File Handler Datum: 4.4.2 VulDB: http://www.scip.ch/?vuldb.579 Es wurde eine kritische Schwachstelle in Cisco WebEx Player bis 27.32. entdeckt. Dies betrifft eine unbekannte Funktion der Komponente WRF File Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine - Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Dies hat Ein Aktualisieren auf die Version 27.25.1 (T27 LC SP25 EP1) vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Cisco hat demnach unmittelbar 3.15 Cisco WebEx Player WRF File Handler atas32.dll Datum: 4.4.2 VulDB: http://www.scip.ch/?vuldb.578 Eine kritische Schwachstelle wurde in Cisco WebEx Player bis 27.32. entdeckt. Betroffen ist eine unbekannte Funktion in der Bibliothek atas32.dll der Komponente WRF File Handler. Das Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dadurch lässt sich Programmcode ausführen. Dies hat Ein Upgrade auf die Version 27.25.1 (T27 LC SP25 EP1) vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Cisco hat demnach unmittelbar 3.16 Cisco WebEx Player WRF File Handler atdl6.dll Datum: 4.4.2 VulDB: http://www.scip.ch/?vuldb.577 In Cisco WebEx Player bis 27.32. wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion in der Bibliothek atdl6.dll der Komponente WRF File Handler. Durch die Manipulation mit einer unbekannten Eingabe kann eine - Schwachstelle ausgenutzt werden. Dies hat Ein Aktualisieren auf die Version 27.25.1 (T27 LC SP25 EP1) / 27.32.1 (T27 LD SP32 CP1) vermag dieses Problem zu lösen. Das sofort nach der Veröffentlichung der Schwachstelle. Cisco hat demnach unmittelbar 6/15

scip monthly Security Summary 19.4.2 3.17 Novell imanager Web Interface jclient Create Attribute Datum: 4.4.2 VulDB: http://www.scip.ch/?vuldb.553 In Novell imanager bis 2.7.4 Patch 3 wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist die Funktion jclient Create Attribute der Komponente Web Interface. Durch die Manipulation des Arguments EnteredAttrName mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Ein Aktualisieren auf die Version 2.7.4 Patch 4 vermag dieses Problem zu lösen. Das sofort nach der Veröffentlichung der Schwachstelle. Novell hat demnach unmittelbar 3.18 IBM Cognos TM1 Admin Server Datum: 2.4.2 VulDB: http://www.scip.ch/?vuldb.524 Eine kritische Schwachstelle wurde in IBM Cognos TM1 9.4.1 entdeckt. Betroffen ist eine unbekannte Funktion der Komponente Admin Server. Das Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Als bestmögliche Massnahme wird das Einspielen des entsprechenden Patches empfohlen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. IBM hat demnach unmittelbar 3.19 TYPO3 Backend Cross Site Scripting [CVE-2-166] Datum: 28.3.2 VulDB: http://www.scip.ch/?vuldb.511 Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit und Integrität. Ein Aktualisieren auf die Version 4.4.14, 4.5.14, 4.6.7 vermag dieses Problem zu lösen. Dieses kann von typo3.org bezogen werden. Das sofort nach der Veröffentlichung der Schwachstelle. Die Entwickler haben demnach unmittelbar 3.2 D-Link DCS-565 DcsCliCtrl.dll SelectDirectory() Datum: 28.3.2 VulDB: http://www.scip.ch/?vuldb.4977 Es wurde eine kritische Schwachstelle in D-Link DCS-565 1...4519/1...4617 entdeckt. Dies betrifft die Funktion SelectDirectory() in der Bibliothek DcsCliCtrl.dll. Durch das Manipulieren mit einer unbekannten Eingabe kann eine -Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit, Integrität und Die Schwachstelle kann durch das Filtern von tcp/8, tcp/443 mittels Firewalling mitigiert werden. 3.21 RealNetworks RealPlayer MP4 File Handler mp4fformat.dll Datum: 24.3.2 VulDB: http://www.scip.ch/?vuldb.4947 Es wurde eine kritische Schwachstelle in RealNetworks RealPlayer 15.. entdeckt. Dies betrifft eine unbekannte Funktion in der Bibliothek mp4fformat.dll der Komponente MP4 File Handler. Durch das Manipulieren mit einer unbekannten Eingabe kann eine - Schwachstelle ausgenutzt werden. Dies hat Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an. In TYPO3 bis 4.4.14/4.5.14/4.6.7, ein Content Management System, wurde eine kritische Schwachstelle entdeckt. Davon betroffen ist eine unbekannte Funktion der Komponente Backend. Durch die Manipulation mit einer unbekannten Eingabe kann eine Cross Site Scripting- 3.22 Apache Struts File Upload XSLTResult.java XSLT File Command Injection Datum: 23.3.2 7/15

scip monthly Security Summary 19.4.2 VulDB: http://www.scip.ch/?vuldb.4949 Eine kritische Schwachstelle wurde in Apache Struts entdeckt. Betroffen ist eine unbekannte Funktion in der Bibliothek XSLTResult.java der Komponente File Upload. Durch das Beeinflussen durch XSLT File kann eine Command Injection-Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit und Integrität. Gegenmassnahme geschah vor und nicht erst nach der Veröffentlichung der Schwachstelle. Die Entwickler haben demnach vorgängig Es sind keine Informationen bezüglich Gegenmassnahmen bekannt. Der Einsatz eines alternativen Produkts bietet sich im Zweifelsfall an. 3.23 Apache Traffic Server HTTP Header Parser Datum: 22.3.2 VulDB: http://www.scip.ch/?vuldb.4955 Eine kritische Schwachstelle wurde in Apache Traffic Server 3..3/3.1.2 entdeckt. Betroffen ist eine unbekannte Funktion der Komponente HTTP Header Parser. Durch das Beeinflussen des Arguments $_SERVER['HOST'] mit einer unbekannten Eingabe kann eine - Schwachstelle ausgenutzt werden. Dies hat Ein Aktualisieren auf die Version 3..4/3.1.3 vermag dieses Problem zu lösen. Das direkt nach der Veröffentlichung der Schwachstelle. Apache hat demnach sofort 3.24 FreePBX callme&#95page.php erweiterte Rechte Datum: 22.3.2 VulDB: http://www.scip.ch/?vuldb.497 Eine kritische Schwachstelle wurde in FreePBX entdeckt. Betroffen ist eine unbekannte Funktion der Komponente callme&#95page.php. Durch das Beeinflussen des Arguments action mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Dies hat Auswirkungen auf Vertraulichkeit und Integrität. Die Schwachstelle lässt sich durch das Einspielen des Patches Unofficial Patch lösen. Dieser kann von archives.neohapsis.com bezogen werden. Das Erscheinen einer 8/15

scip monthly Security Summary 19.4.2 4. Statistiken Verletzbarkeiten Die im Anschluss aufgeführten Statistiken basieren auf den Daten der deutschsprachige Verletzbarkeitsdatenbank der scip AG. http://www.scip.ch/?vuldb Zögern Sie nicht uns zu kontaktieren. Falls Sie spezifische Statistiken aus unserer Verletzbarkeitsdatenbank wünschen so senden Sie uns eine E-Mail an info-at-scip.ch. Gerne nehmen wir Ihre Vorschläge entgegen. 9 8 7 6 5 4 3 Auswertungsdatum: 19. März 2 3 4 5 6 7 8 9 1 2 sehr kritisch 56 15 15 6 11 11 21 1 8 5 kritisch 214 314 42 442 229 14 72 67 142 15 problematisch 17 287 423 396 419 176 7 81 126 522 Verlauf der Anzahl Schwachstellen pro Jahr 35 3 12 25 8 6 15 4 2 5 2-2 2-3 2-4 problematisch 66 249 125 kritisch 17 6 18 sehr kritisch 3 Verlauf der letzten drei Monate Schwachstelle/Schweregrad 2-2 2-3 2-4 1 94 Unbekannt Authentisierung 3 umgehen 1 Code Injection Command Injection 2 Cross Site Request Forgery 1 7 1 Cross Site Scripting 1 34 4 Denial of Service 24 43 6 Designfehler Directory Traversal 1 3 Eingabeungültigkeit erweiterte Dateirechte 1 2 erweiterte Leserechte 1 erweiterte Rechte 3 5 12 erweiterte Zugriffsrechte 4 7 2 Fehlende Authentifizierung Fehlende Verschlüsselung Fehlerhafte Leserechte Fehlerhafte Schreibrechte Format String 2 Information Disclosure 3 3 Konfigurationsfehler 14 Programmcode ausführen 19 Race Condition 1 17 18 Race-Condition Redirect Remote File Inclusion Schwache Authentifizierung Schwache Verschlüsselung Spoofing 2 5 SQL Injection 2 3 2 SQL-Injection 6 Symlink-Schwachstelle 5 1 Verlauf der letzten drei Monate Schwachstelle/Kategorie 9/15

scip monthly Security Summary 19.4.2 2-1 2-2 2-3 2-4 2-5 2-6 2-7 2-8 2-9 2-1 2-11 2-12 Registrierte Schwachstellen by scip AG 34 32 3 312 28 26 24 22 18 16 14 143 12 8 84 83 6 4 2 Verlauf der Anzahl Schwachstellen pro Monat - Zeitperiode 2 35 3 25 15 5 2-1 2-2 2-3 2-4 2-5 2-6 2-7 2-8 2-9 2-1 2-11 2-12 sehr kritisch 1 3 kritisch 7 17 6 18 problematisch 76 66 249 125 Verlauf der Anzahl Schwachstellen/Schweregrad pro Monat - Zeitperiode 2 1/15

scip monthly Security Summary 19.4.2 12 8 6 4 2 2-1 2-2 2-3 2-4 2-5 2-6 2-7 2-8 2-9 2-1 2-11 2-12 Unbekannt 1 94 Authentisierung umgehen 1 3 Code Injection 1 Command Injection 5 2 Cross Site Request Forgery 1 7 1 Cross Site Scripting 6 1 34 4 Denial of Service 26 24 43 6 Designfehler Directory Traversal 1 1 3 Eingabeungültigkeit erweiterte Dateirechte 1 1 2 erweiterte Leserechte 1 erweiterte Rechte 1 3 5 12 erweiterte Zugriffsrechte 5 4 7 2 Fehlende Authentifizierung Fehlende Verschlüsselung Fehlerhafte Leserechte Fehlerhafte Schreibrechte Format String 1 2 Information Disclosure 1 3 3 Konfigurationsfehler 14 Programmcode ausführen 1 16 19 Race Condition 1 17 18 Race-Condition Redirect Remote File Inclusion Schwache Authentifizierung Schwache Verschlüsselung Spoofing 2 5 SQL Injection 2 3 2 SQL-Injection 6 Symlink-Schwachstelle 5 1 Verlauf der Anzahl Schwachstellen/Kategorie pro Monat - Zeitperiode 2 11/15

scip monthly Security Summary 19.4.2 - - 2- Registrierte Schwachstellen by scip AG 52 5 48 46 44 42 4 38 36 34 32 3 28 26 24 22 18 16 14 12 8 6 4 2 31 91 168 15 114 157 117 228229 254 198 159 227224 21 195 183 154 145 165 97 88 82 6 43 47 33 4 25 41 51 41 89 53 41 93 489 143 Verlauf der Anzahl Schwachstellen pro Quartal seit /3 6 5 4 3 sehr kritisch 1 14 24 8 5 5 2 3 1 4 6 4 1 2 2 1 3 1 7 3 3 2 3 1 8 5 7 3 1 6 2 3 3 5 kritisch 9 51 83 71 59 78 67 11 96 125 92 89 96 114 135 97 81 53 44 51 43 42 27 28 14 21 13 24 8 19 22 18 57 28 16 41 87 problematisch 12 26 61 71 5 74 48 115 132 125 66 86 111 87 112 111 11 17 51 43 53 29 28 18 15 9 14 22 28 17 3 22 25 49 397 - - - - 2- Verlauf der Anzahl Schwachstellen/Schweregrad pro Quartal seit /3 12/15

scip monthly Security Summary 19.4.2 16 14 12 8 6 4 2 Unbekannt 1 6 6 8 5 8 16 6 7 8 11 13 18 19 17 7 4 9 5 2 1 2 3 6 3 1 3 2 26 12 4 1 1 94 Authentisierung umgehen 4 Code Injection 1 Command Injection 7 Cross Site Request Forgery 1 1 Cross Site Scripting 5 11 9 1 4 4 6 5 25 19 12 1 17 16 7 11 13 22 24 8 6 7 4 4 1 3 1 2 7 2 2 5 5 3 9 5 4 Denial of Service 3 18 39 3 19 34 29 35 33 55 41 43 46 35 5 6 53 29 18 22 13 1 11 1 4 2 4 5 6 8 7 8 8 11 1 19 93 6 Designfehler 7 1 22 16 12 27 23 59 89 8 45 32 39 63 4 42 11 4 12 14 8 15 15 3 12 4 5 2 3 3 6 1 6 2 11 4 Directory Traversal 4 2 1 3 4 2 3 2 7 1 1 1 1 1 1 1 5 Eingabeungültigkeit 4 3 2 3 1 5 2 1 1 1 2 4 2 4 14 6 9 6 2 2 4 2 1 1 1 1 3 5 3 1 erweiterte Dateirechte 4 erweiterte Leserechte 1 erweiterte Rechte 1 6 55 12 erweiterte Zugriffsrechte 5 16 2 Fehlende Authentifizierung 2 3 3 4 4 2 1 3 1 2 3 2 1 3 Fehlende Verschlüsselung 4 2 4 4 8 2 3 2 3 7 2 1 4 Fehlerhafte Leserechte 7 11 8 6 5 4 8 7 3 7 2 4 3 4 2 3 1 1 2 Fehlerhafte Schreibrechte 8 8 6 11 13 5 4 4 3 2 1 5 3 1 4 2 4 2 1 Format String 1 4 2 1 1 2 1 1 4 2 5 1 2 6 5 2 1 1 1 2 1 1 1 1 1 Information Disclosure 1 1 6 Konfigurationsfehler 3 8 1 1 2 1 3 1 9 2 1 3 1 27 Programmcode ausführen 1 24 55 42 26 34 28 65 53 54 45 39 48 57 63 52 53 67 64 68 44 49 39 45 18 31 18 3 12 19 33 24 3 2 1 26 1 Race Condition 147 18 Race-Condition 1 2 1 1 3 6 7 4 1 1 1 2 5 3 3 4 1 1 1 1 1 1 1 1 Redirect 1 Remote File Inclusion 1 Schwache Authentifizierung 2 5 2 6 6 4 2 1 6 1 2 2 3 7 5 6 2 1 1 1 Schwache Verschlüsselung 2 2 2 1 1 2 2 2 3 1 1 1 Spoofing 1 6 SQL Injection 3 2 SQL-Injection 2 1 1 1 2 1 1 3 1 1 1 6 2 3 3 1 2 8 Symlink-Schwachstelle 1 2 1 2 2 2 1 1 2 3 1 7 1 Verlauf der Anzahl Schwachstellen/Kategorie pro Quartal seit /3 - - - - 2-2- 13/15

scip monthly Security Summary 19.4.2 5. Labs In unseren scip Labs werden unter http://www.scip.ch/?labs regelmässig Neuigkeiten und Forschungsberichte veröffentlicht. 5.1 Kompromittierung einer Sprachmailbox 22.3.2 Marc Ruef, maru-at-scip.ch Um auf eine Sprachmailbox (engl. Voice-Mail) zugreifen zu können, muss sich bei dieser Authentisiert werden. Hierzu werden zwei unterschiedliche Verfahren eingesetzt: 1. Identifikation anhand der Rufnummer 2. Authentisierung anhand einer PIN Die erstgenannte Möglichkeit wird typischerweise genutzt, um die Nachrichten für die eigene Nummer abhören zu können. Die zweite Möglichkeit wird als Alternative eingesetzt, wobei durch Fernzugriffe auf ab anderen Geräten die Nachrichten abgehört werden können. Angriffe auf Sprachmailbox Das Klonen und Spoofen von Telefonnummern ist jenachdem möglich, bedingt aber ein relativ hohes Verständnis für die zugrundeliegenden Technologien. Zudem muss die Konfiguration der Umgebung und des Routings, welche durch den Telefonanbieter vorgenommen wird, verschiedene Schwächen aufweisen (z.b. kein Durchsetzen von Rufnummern, kein striktes Routing). Diese Angriffsmöglichkeit wird heutzutage am ehesten im Voice-over-IP Bereich interessant. Das Kompromittieren einer Sprachmailbox wird aber typischerweise durch die Möglichkeit des Fernzugriffs umgesetzt. Diese Angriffstechnik ist verhältnismässig primitiv und auch aus anderen Bereichen übertragbar. Hierzu wird ein Anruf auf die Sprachmailbox getätigt und dann versucht den PIN zu erraten. Viele Telekommunikationsanbieter erlauben bis stellige PINs. Diese sind oftmals bei der Aufschaltung einer Nummer vordefiniert und es wurde immerwieder berichtet, dass Standard-PINs (z.b. 1234 oder die letzten 4 Stellen der Telefonnummer) zum Tragen kommen. Der Benutzer kann in der Regel seinen PIN ändern und auch hier ist das altbekannte Problem der Wahl schwacher Passwörter zu beobachten. Gern genutze PINs sind in der Regel (in dieser Hinsicht ist die statistische Auswertung von Daniel Amitay wegweisend): Einfach zu merkende Zahlenreihen (z.b. 1234, 1515) Geburtsdaten, Jahrestage (z.b. 7, 1981) Muster auf der Tastatur (z.b. 1245, 258) Manche Anbieter erlauben ein beliebiges Durchprobieren des PINs bis zur erfolgreichen Authentisierung. Dadurch werden Bruteforce-Attacken, die sich mit entsprechenden DTMF-Lösungen automatisieren lassen, möglich. Bestimmte Anbieter benachrichtigen hingegen den Anschlussinhaber per SMS, falls eine mehrfache Falscheingabe erfolgt ist. Konnte sich Zugriff auf die Sprachmailbox verschafft werden, können entsprechende Manipulationen vorgenommen werden. Einerseits lassen sich die Konfigurationseinstellungen ändern (z.b. Funktion abschalten, PIN ändern). Andererseits können die bestehenden Mitteilungen abgehört und gelöscht werden. Desweiteren besteht in der Regel die Möglichkeit, einen Rückruf umzusetzen. Dabei wird der Absender einer vorliegenden Nachricht zurückgerufen. Interessant dabei ist, dass oftmals der Anruf selbst nicht vom externen Gerät, sondern vom Anschluss der abgehörten Sprachmailbox getätigt wird. Auf dem Display des zurückgerufenen Geräts wird sodann die Rufnummer Sprachmailbox angezeigt und auch auf diesen Anschluss eine Verrechnung vorgenommen. Durch diese Angriffstechnik wird es möglich, dass zusätzliche Kosten generiert werden. Der Angreifer ruft von einer kostenpflichtigen Nummer, die sich in seinem Besitz befindet, auf die Sprachmailbox an. Danach wählt er sich in diese ein und initiiert einen Rückruf. Die dabei anfallenden Kosten werden dem Opfer aufgerechnet. Gegenmassnahmen In erster Linie kann sich der Telefonanbieter darum bemühen, Massnahmen zum Verhindern bzw. Erschweren dieser Angriffsmöglichkeit einzuführen. Fehlerhafte Login-Versuche auf die Sprachmailbox sollten protokolliert und ausgewertet werden. Mehrmalige Zugriffe dieser Art sollten eine Benachrichtigung des Anschlussinhabers und eine temporäre Sperrung von Fernzugriffen (diese kann auch nur ein paar Minuten anhalten) zur Folge haben. Zudem kann der Telefonanbieter darum bemüht sein, mittels Anomaly Detection ein abnormales Anrufverhalten zu identifizieren. Normalerweise werden zum Beispiel innerhalb einer Woche 5 Anrufe getätigt, bei denen Kosten von CHF 14/15

scip monthly Security Summary 19.4.2 anfallen. Werden die Woche darauf drei Mal so viele Anrufe und ein fünffaches Kostenvolumen identifiziert, sollte wiederum der Anschlussinhaber informiert und bei extremen Abweichungen eine Anrufsperre durchgesetzt werden. (Uns sind Fälle bekannt, bei denen die Kosten eines erfolgreichen Betrugs das hundertfache der üblichen Kosten erreicht hat.) Der Telefonanbieter sollte beim Einrichten der Sprachmailbox entweder Fernzugriffe gänzlich sperren oder einen zufällig gewählten PIN vordefinieren. Ebenso sind Benutzer angehalten, die von ihnen gewählten PINs möglichst lang und komplex ausfallen zu lassen. Ein regelmässiges Ändern der PINs (z.b. einmal pro Jahr) reduziert das Fenster für erfolgreichen Missbrauch erheblich. 6. Impressum Herausgeber: scip AG Badenerstrasse 551 CH-848 Zürich T +41 44 44 13 13 info-at-scip.ch http://www.scip.ch Zuständige Person: Marc Ruef Security Consultant T +41 44 44 13 13 maru-at-scip.ch scip AG ist eine unabhängige Aktiengesellschaft mit Sitz in Zürich. Seit der Gründung im September 2 fokussiert sich die scip AG auf Dienstleistungen im Bereich Information Security. Unsere Kernkompetenz liegt dabei in der Überprüfung der implementierten Sicherheitsmassnahmen mittels Penetration Tests und Security Audits und der Sicherstellung zur Nachvollziehbarkeit möglicher Eingriffsversuche und Attacken (Log- Management und Forensische Analysen). Vor dem Zusammenschluss unseres spezialisierten Teams waren die meisten Mitarbeiter mit der Implementierung von Sicherheitsinfrastrukturen beschäftigen. So verfügen wir über eine Reihe von Zertifizierungen (Solaris, Linux, Checkpoint, ISS, Cisco, Okena, Finjan, TrendMicro, Symantec etc.), welche den Grundstein für unsere Projekte bilden. Das Grundwissen vervollständigen unsere Mitarbeiter durch ihre ausgeprägten Programmierkenntnisse. Dieses Wissen äussert sich in selbst geschriebenen Routinen zur Ausnutzung gefundener Schwachstellen, dem Coding einer offenen Exploiting- und Scanning Software als auch der Programmierung eines eigenen Log- Management Frameworks. Den kleinsten Teil des Wissens über Penetration Test und Log- Management lernt man jedoch an Schulen nur jahrelange Erfahrung kann ein lückenloses Aufdecken von Schwachstellen und die Nachvollziehbarkeit von Angriffsversuchen garantieren. Einem konstruktiv-kritischen Feedback gegenüber sind wir nicht abgeneigt. Denn nur durch angeregten Ideenaustausch sind Verbesserungen möglich. Senden Sie Ihr Schreiben an smssfeedback@scip.ch. Das Errata (Verbesserungen, Berichtigungen, Änderungen) der scip monthly Security Summarys finden Sie online. Der Bezug des scip monthly Security Summary ist kostenlos. Anmelden! Abmelden! 15/15