Tag Archives: Exploit

Noch keine Patches für MariabDB Root Exploits vorhanden

Posted on by

Für die u.a. bei The Hacker News gemeldeten Root-Exploits für MariaDB gibt es noch keine Patche im Fedora Repository, auch nicht im Unstable Bereich. Da hilft nur, den möglichen Exploit durch Verschleierung zuvermeiden.

Der bereits verfügbare Testexploit, legt Dateien im /tmp/ Ordner an. Das kann man schon mal verhindern, indem beim Start mit Systemd ein privates Temp-Verzeichnis benutzt wird. Das verhindert den Hack nicht, aber die kleinen Scriptkids werden an der Hürde scheitern 😉

Wenn man sein mariadb.service File nicht geändert hat, kommt es in Fedora bereits mit der richtigen Einstellung:

[Unit]
Description=MariaDB 10.0 database server
…
# Place temp files in a secure directory, not /tmp
PrivateTmp=true
…

In der my.cnf sollte man sowieso immer das Benutzen von Symbolischen Links abschalten, eine Serverdatenbank braucht das i.d.R. nicht:

symbolic-links=0

Damit kann man auch ohne Patch CVE-2016-6662 nicht ausnutzen um seine Rechte zu eskalieren. Wer bislang „mariadb-10.0.27-1“ noch nicht eingespielt hat, sollte das trotzdem dringend nachholen.

Gegen die Lücken CVE-2016-6663 und CVE-2016-6664 sind die Patche bei Fedora noch in Arbeit. Leider ist auch im Koji noch keine Testversion ersichtlich. Die letzten Builds stammen vom Anfang des Monats, welche zudem die CVE Patche nicht enthalten. Dies kann natürlich daher rühren, daß diese Versionen nicht anfällig waren, da es sich um den 10.1.17/18 er Zweig von Mariadb handelt.

Exploits via JPG Bilder im Umlauf

Posted on by

Manchmal machen es einem den Verbrecher besonders einfach, nicht auf Ihre Masche hereinzufallen. Wer als Deutscher sowas in der Email hat:

Chinesische Emailklickt gar nicht erst auf die Grafik, die im Anhang drin ist drauf, sondern löscht die Mail gleich.

Trotzdem sollten alle Leser auf der Hut sein, denn im JPEG2000 Decoder diverser Anwendungen und Betriebssysteme steckt ein schwerer Fehler, der es dem Angreifer erlaubt, Code auf dem PC des Opfers auszuführen, alleine durch das Ansehen von veränderten Bildern.

Wer im obigen Bild genau hingesehen hat, der hat unten das Attachement gesehen: „…. .jpg“

Ausschnittvergrößerung

Inhaltlich hatte die Spam nichts zu bieten, spaßeshalber habe ich den Text mal übersetzen lassen:

您好:

敝司為保健食品品牌商,敝司優秀的研發團隊研發出一支百億活性益生菌粉劑,且與擁有HACCP/ISO22000雙項國際食品安全管理系統以及國內首批通過TQF之生技大廠配合,不論是產品原料,配方,生產品質均優良

Hallo:

Geräumige Sekretär für Gesundheit Lebensmittel-Marken, geräumige Sekretär hervorragende F & E-Team entwickelte eine zehn Milliarden aktiven Probiotika, und mit dem Besitz von HACCP / ISO22000 Dual internationalen und nationalen Lebensmittelsicherheit-Management-System durch die erste Charge von komplexen Biotech-Riese TQF , ob Rohstoffe, Formulierungen, die Produktionsqualität sind ausgezeichnet

Kommt nur Gebrabbel raus. Kein Wunder daß übersetzte Spams so leicht zu erkennen sind 😉

Also, wie immer, nicht Lesen, sondern ab in die Tonne damit.

Hanz Jenson Alias ????

Posted on by

Vor einer Woche habe ich auf das Full Disclosure Posting zu dem Teamspeak 3 Schwachstellen hingewiesen. Dabei fiel der vom Poster benutzte Name „Hanz Jenson“. Die Redakteure von Heise.de haben etwas genauer hingeschaut, und einen Alias gefunden „ff214370685e536b9ee021c7ff6b7680bfbe6008bc29f87511b6b90256043536“.

Jetzt bleibt nur noch die Frage : Wer versteckt sich hinter diesem Sha256 Hash ?

Sachdienliche Hinweise dazu nimmt jedes Blog, Heise oder mein Briefkasten auf.

Teamspeak bietet weiterhin keinen Patch für die Lücken an, die der FullDisclosure Poster offengelegt hat. Ganz verstehen tue ich die Geheimniskrämerei nicht, denn die Lücken zu posten ist legitim um sie beseitigt zu bekommen. Natürlich wäre eine Vorab Info an TS schön gewesen. Da aber keine konkreten Exploits aufgetaucht sind, hat der Poster IMHO nichts zu befürchten, denn jeder kann zu Hause seine Programme auf Sicherheitslücken hin abchecken.

Es gibt eigentlich nur zwei Gründe wieso er sich nicht outet: Er arbeitet bei TeamSpeak , oder er hat Angst vor unserem schwammigen Hackerparagraphen. Der Hackerparagraph müßte eh mal vom Bundesverfassungsgericht abgeklopft werden, schliesslich ist in dem viel zu viel Gummi enthalten. Das verstößt sicher gegen EU Regulierungen 😉

Update vom 20.8. :

Es steht eine TeamSpeak 3.0.13.3 Downloaddatei für den Server bereit. Intressanterweise gibt den üblichen Anounce zu dieser Version nicht ( TS3 – Latest News ). Dafür aber in der Bugssektion eine rege Diskussion :

http://forum.teamspeak.com/threads/126508-0-day-vulnerabilities-in-server-3-0-13

Kleinere Zitateauswahl:

„Exclamation Teamspeak Server crash   => MergedNext exploit for ver 3.0.12.4 — 3.0,13″

„Hotfix for TeamSpeak vulnerabilities [till 3.0.13]
i tested on my server working crash my server, but i added a line iptables, tools send length 315, i drop this packet on iptables and working for me
-A INPUT -p udp -m udp -j DROP –match length –length 300:350“