iDefense meldet einen Fehler in 3Coms Überwachungs-Software für Netzwerkdienste Network Supervisor und Network Director. Dieser ermöglicht ein so genanntes Directory-Traversal (Dateisystem-Zugriffe durch Pfadangaben mit "../") auf dem integrierten Webserver. Die fehlerhafte Komponente filtert präparierte URLs nicht richtig, so dass Angreifer auf beliebige Dateien auch außerhalb des Webserver-Wurzelverzeichnisses zugreifen könnten. Laut dem Advisory ist darüber beispielsweise die Passwort-Datei eines Windows-Systems auslesbar ([SYSTEMROOT]\repair\sam). Dadurch öffnet die Lücke potenziellen Angreifern Tür und Tor, da im Internet Werkzeuge zur Verfügung stehen, die die verschlüsselten Passwörter daraus extrahieren können.
3Coms Network-Supervisor ist bis einschließlich Version 5.1 von dem Fehler betroffen. Der Network Director ist in Version 2.0 und älter verwundbar. Als Workaround schlagen die Sicherheitsexperten von iDefense das Blockieren des Port 21700 und das Einschränken der Zugriffsberechtigung auf vertrauenswürdige Hosts vor. 3Com stellt Patches für die betroffenen Versionen zur Verfügung. Sie sind in dem Advisory verlinkt.
Siehe dazu auch:
* Security Advisory von iDefense
Quelle und Links :
http://www.heise.de/security/news/meldung/63502
