Martin K. Peterson GDM 2.x lokales Flooding Denial of Service

VulDB: Martin K. Peterson GDM 2.x lokales Flooding Denial of Service

Allgemein

scipID: 340
Betroffen: GNOME Display Manager (GDM) 2.x bis und mit 2.4.4.3
Veröffentlicht: 16.10.2003
Risiko: problematisch
Eintrag: 95.4% komplett
Erstellt: 21.10.2003
Aktualisiert: 03.09.2012

Beschreibung

GNOME Display Manager (GDM) von Martin K. Peterson ist ein sehr beliebter Window Manager für Unix- und Linux-Systeme. Von vielen Distributionen wird er als Standard vorgeschlagen, weshalb GDM eine hohe Verbreitung geniesst. Zeitgleich wurden zwei, sich stark ähnelnde Denial of Service-Schwachstellen, die jeweils primär lokal ausgenutzt werden können, publiziert. Eine davon ist dadurch gegeben, dass GDM die Anzahl der Anfragen nicht beschränkt. Durch eine hohe Anzahl Requests kann ein Flooding erzeugt und dadurch der DoS-Zugriff erzwungen werden. GDM kann sodann keine Anfragen mehr verarbeiten oder stürzt komplett ab. Ein Exploit zur Schwachstelle wurde bisher nicht bekannt. Zusammen mit dem Publizieren der beiden besagten lokalen Denial of Service-Sicherheitslücken in GDM wurde die Version 2.4.4.4 herausgegeben, die von den Fehlern nicht mehr betroffen ist. Mitunter wird der Fehler auch in den Datenbanken von OSVDB (2683), Secunia (SA10024), SecurityFocus (BID 8846) und X-Force (13447) dokumentiert.

Für den Vulnerability Scanner Nessus wurde am 31.07.2004 ein Plugin mit der ID 14082 (MDKSA-2003:100 : gdm) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Mandriva Local Security Checks zugeordnet und im Kontext local ausgeführt.

Obschon gleichzeitig zwei Denial of Service-Schwachstellen in GDM 2.x bekannt wurden, muss das Risiko nicht zwangsweise hochgestuft werden. So ist ein lokaler Zugriff für beide erforderlich und die Auswirkungen betreffen lediglich den Window Manager auf destruktive Weise. Lediglich Skript-Kiddies und andere Störenfriede werden Spass an den Möglichkeiten haben. Mehr als ein Ärgernis bleiben erfolgreiche Angriffe schlussendlich nicht.

CVSS

Base Score: 5.2 (CVSS2#AV:A/AC:M/Au:S/C:N/I:N/A:C) [?]

Access Vector	Access Complexity	Authentication	Confidentiality	Integrity	Availability
Local	High	Multiple	None	None	None
Adjacent	Medium	Single	Partial	Partial	Partial
Network	Low	None	Complete	Complete	Complete

Exploiting

Klasse: Denial of Service
Auswirkungen: Komponenten abstürzen lassen
Lokal: Nein
Remote: Teilweise

Verfügbarkeit: Ja
Download: securityfocus.com

Nessus ID: 14082
Nessus Name: MDKSA-2003:100 : gdm
Nessus Family: Mandriva Local Security Checks
Nessus Context: local

Gegenmassnahmen

Empfehlung: Upgrade
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt

Patch: ftp.gnome.org

Timeline

Quellen

Advisory: mandrakesecure.net
Person: http://www.mandrakesecure.net
Firma: Mandrake Security
Bestätigung: cvs.gnome.org

OSVDB: 2683
CVE: CVE-2003-0793 (mitre.org) (nist.org) (cvedetails.com)
Secunia: 10024
SecurityFocus: 8846
X-Force: 13447

TecChannel: 1280
Diverses: distro.conectiva.com.br

Schwachstellen Übersicht

scip AG