Übertriebene "Sicherheitsmeldungen"?

04/01/2008 - 13:17 von Manuel Reimer | Report spam
Hallo,

ich habe schon öfters davon gelesen, dass nicht selten bei Bug-Meldungen
übertrieben wird, und auch einfachere Fehler als "böse Sicherheitslücke"
dargestellt werden.

Gerade bin ich über diese Meldung gestolpert:

http://nvd.nist.gov/nvd.cfm?cvename=CVE-2007-5191

inklusive Link zu kernel.org mit Patches:

http://git.kernel.org/?p=utils/util...71e80b187e

Frage: Kann man das Dingens wirklich nutzen, um "root" zu werden. Ist es
nicht total egal, ob die Rückgabewerte geprüft werden? "root sein" ist
doch eher binàr. Entweder man ist root oder eben nicht. Das Programm mit
setuid-Bit muss so sicher programmiert sein, dass ein Benutzer nur das
damit anstellen kann, wofür das Programm gedacht ist. Wenn die
Rückgabewerte nicht geprüft werden, dann meint das Programm zwar, dass
es root ist, ist es aber nicht, da der setuid-Aufruf fehlgeschlagen ist,
oder nicht? Wo ist dann die Sicherheitslücke?

CU

Manuel

XPost nach dcoup, F'up zurück nach dcoulm
 

Lesen sie die antworten

#1 Heiko Schlenker
04/01/2008 - 13:54 | Warnen spam
* Manuel Reimer schrieb:

ich habe schon öfters davon gelesen, dass nicht selten bei
Bug-Meldungen übertrieben wird, und auch einfachere Fehler als
"böse Sicherheitslücke" dargestellt werden.



Fehler, die es ermöglichen, Benutzerrechte zu bekommen, die man bei
normaler Benutzung niemals hàtte, sind nicht "einfach". Das
Stichwort in diesem Zusammenhang lautet: privilege escalation
(Rechteerweiterung)

Gruß, Heiko
Neu im Usenet? -> http://www.kirchwitz.de/~amk/dni/
Linux-Anfànger(in)? -> http://www.dcoul.de/infos/
Fragen zu KDE/GNOME? -> de.comp.os.unix.apps.{kde,gnome}
Passende Newsgroup gesucht? -> http://groups.google.com/groups?as_umsgid=

Ähnliche fragen