In der Single-Sign-On-Software Atlassian Crowd konnten Angreifer durch eine Sicherheitslücke durch speziell präparierte SOAP-Requests auf Dateien auf dem Server zugreifen, die nicht für die Öffentlichkeit bestimmt sind. Etwa durch Verweise auf file://-URLs oder Links, die auf localhost zeigen, lässt sich die Lücke ausnutzen. Die Schwachstellen werden mit einem Update auf die Versionen 2.6.3, 2.5.4. und 2.7 behoben. Ein Patch kann verwendet werden, wer ältere Versionszweige nutzt.

Im Umlauf ist bereits ein passender Exploit. Atlassian Crowd soll mit den Patches allerdings noch nicht vollständig abgesichert sein. Auf noch eine weitere Sicherheitslücke (CVE-2013-3926) verweist Command Five, die nicht authentifizierten Angreifern die volle Kontrolle jeglicher Crowd-Server ermöglicht. "Dieser Hinweis konnte bisher nicht geprüft werden, da der Autor des Artikels die Entwickler bisher nicht kontaktiert habe und keine Details bekannt gab", entgegnete Atlassian.

(ts, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE