Firefox: ungepatchte 17 Jahre alte Sicherheitslücke

Wie uns die TheHackerNews heute mitteilen, gibt es im Firefox eine ungepatche Sicherheitslücke, die streng genommen, seit 17 Jahren im Firefox schlummert.

Same-Origin-Policy versagt

Die Same-Origin-Policy versagt bei Zugriffen auf „file://“ URLs. Was andere Browser schon vor Jahren behoben haben, ist für die Firefox Entwickler nicht wichtig, da es bislang keinen Exploit dafür gab. Das hat sich geändert:

Was wir hier sehen, wenn das Bild denn scharf wird (runterladen per youtube-dl hilft dabei), ist folgendes:

Eine Email mit einem HTML Attachment wird in einem Webmail geöffnet.
Die HTML Datei wird von Firefox abgespeichert, wie man sieht im HOME des Users!
Die HTML Datei wird mit Firefox über file://…  geöffnet und ..
präsentiert uns den Inhalt des Verzeichnisses.

Die HTML Seite enthält Javascriptcode, der über die File und Fetch Api vom Browser das Verzeichnis und die Dateien ausliest und dann mit AJAX die Daten exfiltriert.

Ein Patch dafür ist nicht in Arbeit, da Mozilla die Lücke nicht als solche anerkennt. Mal sehen ob sich das jetzt ändert 😉

Quelle: https://thehackernews.com/2019/07/firefox-same-origin-policy-hacking.html

aktueller FireFox mit Sicherheitsschwachstelle

Wie die Hacker News berichten, ist ein Angriff gegen aktuelle FireFox Browser möglich, bei dem Addons von den Angreifern  installiert werden können. Die Schwachstelle liegt im „Certificate Pinning“ Algorithmus, der entgegen der IETF Richtline anders als Empfohlen von Mozilla implementiert wurde. CP wird eingesetzt um sicherzustellen, daß man einem Seitenbesucher kein gefälschtes SSL Zertifikate unterjubeln kann, wenn dieser eine Webseite besucht. Mit anderen Worten, es merkt sich, wer welches Zert hatte.

Abhilfe schafft das Abschalten der automatischen Updates für Addons. Dazu in die Add-On-Verwaltung reingehen, das Werkzeugicon rechts oben ausklappen und auf „Manuelle“ Updates umstellen. Fertig.

Sicherheitslücke in OpenOffice muß manuell gefixt werden

Für alle unter Euch die OpenOffice einsetzen und die Updates nicht per Distro bekommen: Ihr müßt jetzt aktiv werden!

OpenOffice hat eine „schwere“ Sicherheitslücke : CVE-2016-1513 Ein manipuliertes Officefile zu öffnen reicht schon aus.

Zunächst mal müßt Ihr auf OO 4.1.2 updaten, sofern Ihr das noch nicht gemacht habt. Dazu müssen die Pakete erstmal geladen werden. Hier die Downloadlinks für Fedora/RedHat :

Download

http://netcologne.dl.sourceforge.net/project/openofficeorg.mirror/4.1.2/binaries/de/Apache_OpenOffice_4.1.2_Linux_x86-64_install-rpm_de.tar.gz

Dann braucht Ihr noch den Patch für den HotFix :

https://archive.apache.org/dist/openoffice/4.1.2-patch1/binaries/Linux64/apache-openoffice-4.1.2-patch1-apply-Linux64.zip

Update Openoffice

  1. Das Archiv auspacken und dann in das RPMS Verzeichnis wechseln
  2. mit „su“ Root werden
  3. rpm -U *rpm

Install Patch

  1. Den Patch auspacken. Ihr findet eine Datei namens libtl.so
  2. mv {PFAD zum ausgepackten Archiv}/libtl.so /opt/openoffice4/program/
  3. Die Frage nach de Überschreiben bejahen.

Fazit

Ja, es ist ein HotFix. HotFixe sind dämlich einzuspielen, aber der ganze Updatemechanismus von OpenOffice ist nicht mehr zeitgemäß. Es gibt jetzt zwei Möglichkeiten, ich stelle allen ein Repository zur Verfügung, aber dann gehen Hotfixe unter, oder wir wechseln zu LibreOffice, weil das im Repo von Fedora gepflegt wird.

Pikant an der Lücke ist, das sie seit dem 21.Juli bekannt ist und erst jetzt ein Fix verfügabr ist. Kein Gutes Zeichen für OpenOffice.

wie man zu einem Advisory bei Fulldisclosure kommt

Eigentlich wollte ich nur mal meinen langjährigen, treuen Freund den Netgear DSLRouter RP614v3 einen kleinen Besuch per CURL abstatten, weil in seinem Bekanntenkreis eine Sicherheitslücke gefunden wurde. Die Lücke im N300 FW Router von Netgear konnte ich zwar nicht finden, aber dafür fiel mir was komisches auf.  Wenn ich „curl -i “ benutzte, statt „curl -I“ ( großes i ), bekam ich von meinem Router eine Webseite angezeigt, statt einer 403 Umleitung auf die Loginseite, und dies, obwohl ich per Konsole gar nicht angemeldet war.

Eigentlich sollte „curl -i“ die ganzen Headerinformationen der HTTP Antwort mit ausgeben, aber irgendwas war noch anders. Etwas, das den Router verwirrte. Nach einigen Analysen kam ich dann drauf, curl sendet bei -I einen HEAD Request, vor dem eigentlich GET, und dieser wurde korrekt umgeleitet auf die Loginseite.

# curl -I "http://192.168.1.1/contents1.html"
HTTP/1.0 403 Forbidden

„curl -i“ machte das komischerweise nicht, es sendete gleich den GET Request aus.

# curl -i "http://192.168.1.1/contents1.html"
HTTP/1.0 200 OK
Server: Embedded HTTPD v1.00, 1999(c) Delta Networks Inc.
Content-length: 7158
Accept-ranges: bytes
Content-type: text/html

Ein Exploit war gefunden.

Es stellte sich die Fragen, was kann man damit alles machen  und viel wichtiger, hatte den Exploit schon wer anders gefunden ?

Die erste Frage war leicht zu beantworten: Alles 🙂 Die gesamte Sicherheit des Browserinterfaces lag darin begründet, daß Browser immer ein HEAD vorrausschicken und dann erst ein GET, wenn die Seite nicht mehr aus dem Cache kommen sollte.

Sendete man das GET gleich, kommt man an alle Infos, Formular usw. direkt dran.

Type : Authentication Bypass

Genau so einen Bug hatte auch der N300 FW von Netgear, nur war der Bypass dort anders geartet. Dort hatte die Anwendung ein Loch, hier die Implementierung im Embedded httpd.

Um es kurz zu machen, wer einen RP614v3 egal welcher Firmware im Netz hat, muß damit leben, daß der Router nicht mehr unter der alleinigen Kontrolle des Besitzers ist. Dazu kommt noch ein schöner ROOT Exploit in der Telnetsession, den aber vor Jahren schon jemand anders dokumentiert hatte.

Fulldisclosure

Im Oktober 2015 habe ich Netgear über die Schwachstelle informiert. Keine Reaktion. Wie andere Securityresearcher auch schon erleiden mußten, ist Netgear wenig sensibel für Kontaktaufnahmen, was meint, sie geben sich nicht die größte Mühe erreichbar zu sein. Normalerweise sind deren Produkte sicher genug, daß sie keiner erreichen muß, aber wenn, ist das eine Odysee . Die habe ich mir nicht gegeben. Es war ohnehin extrem fraglich, ob es dafür einen Fix geben würde, da das Produkt schon weiter über 10 Jahre alt war.

Gestern ging die Nachricht dann an die Liste raus. Wer es nachlesen will : http://seclists.org/fulldisclosure/2016/Feb/35

Kleiner Teaser: Im März läuft der nächste FD Timer aus und zu dem gibts eine schöne Story und ein bisschen Backgroundinfos.

Sicherheitslücke in Zwangsroutern von Vodafon und Kabel Deutschland

Gerade schlug bei uns diese Meldung ein:

Fatale Sicherheitsluecken in Zwangsroutern von Vodafone Kabel Deutschland

Überraschend kams nicht wirklich. Was mich aber irritiert hat ist, daß über 1 Million Menschen für 2 Euro im Monat eine Funktion freischalten, die mit einer 20 € Investition 10x besser gelöst werden kann. Das sind 24 Millionen € im Jahr Gewinn für die Anbieter, ohne besondere Gegenleistung. Kein Wunder daß alle Anbieter bei der RegTP-Befragung für Zwangsrouter waren.

Wer sich nicht länger verarschen lassen möchte, geht einfach zum nächsten Elektronikladen und kauft einen WLAN-Accesspoint, vorzugsweise für den 5 Ghz Bereich, die sind schneller.

Sie geben damit einmalig Geld aus, welches sich bereits nach wenigen Monaten amortisiert hat. Da man den Accesspoint irgendwo im Netz einhängen und somit auch irgendwo in der Wohnung aufstellen kann, hat das mehr als nur finanzielle Vorteile.

„Wenn es keine Schafe gäbe, gäbe es auch keine Wölfe.“