Alt-N MDaemon bis 9.53 auf Windows Fehlerhafte Schreibrechte

VulDB: Alt-N MDaemon bis 9.53 auf Windows Fehlerhafte Schreibrechte

Allgemein

scipID: 2695
Betroffen: Alt-N Mdaemon bis 9.53 für Windows
Veröffentlicht: 16.11.2006
Risiko: problematisch
Eintrag: 91.2% komplett
Erstellt: 21.11.2006
Aktualisiert: 03.09.2012

Beschreibung

Die Server-Software Mdaemon ermöglicht das Anbieten der Dienste SMTP, POP3, IMAP4 und LDAP auf UNIX- und Windows-Systemen. Wie Secunia Reserach herausgefunden hat, weist die Windows-Version einen Designfehler auf. Wird die Software ausserhalb des üblichen Programme-Verzeichnisses installiert, werden fehlerhafte Dateirechte angewendet. Dies führt dazu, dass sämtliche Benutzer aus der Gruppe User mit Schreibrechten ausgestattet bleiben. Im Advisory wird exemplarisch vorgetragen, dass zum Beispiel die Datei RASAPI32.DLL manipuliert werden kann, wodurch sich erweiterte Rechte erlangen lassen. Zukünftige Versionen prüfen zwar die Richtigkeit dieser Datei, verfehlen aber den Schutz der anderen Dateien. Als Workaround bleibt deshalb lediglich die Möglichkeit, dass manuell die jeweiligen Dateirechte gesetzt werden. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (30462), Secunia (SA21554), SecurityTracker (ID 1017238) und X-Force (30331) dokumentiert.

Fehler wie diese entstehen vor allem während der Entwicklung, weil die Programmierer aus Komfort-Gründen die Rechte für ihre Tests zu lax setzen. Bevor die Software sodann publiziert wird, sollten die fehlerhaften Rechte jedoch wieder angepasst werden. Die Vergangenheit hat immerwieder gezeigt, dass es sehr schnell passieren kann, dass die erforderliche Anpassung vergessen und dadurch eine Sicherheitslücke aufgetan wird.