amiga-news.de - Schwerwiegende Sicherheitslücke in Genesis

02.Nov.2003
#amiganews.de (IRC)

Schwerwiegende Sicherheitslücke in Genesis
Vor kurzem wurde im mit AmigaOS 3.9 ausgelieferten TCP-Stack "Genesis" eine schwerwiegende Sicherheitslücke aufgedeckt. Falls Sie diesen Stack einsetzen sollten, empfehlen wir dringend, sich die folgende Problembeschreibung aufmerksam durchzulesen und die beschriebenen Gegenmaßnahmen zu ergreifen.

Das Problem

Zum Lieferumfang von Genesis gehört ein "Netzwerk-Filesystem" (AmigaNetFS), das bei Vernetzung mehrerer Amigas das Anmelden der Partition eines Rechners auf den anderen Amigas im Netzwerk erlaubt. AmigaNetFS wird automatisch zusammen mit Genesis installiert.

Offensichtlich ist der AmigaNetFS-Dienst bei der Standardkonfiguration von Genesis freigegeben, d. h. der Dienst ist aktiviert und jeder, der Ihre IP-Nummer kennt, kann Ihre Partitionen bei sich anmelden - dazu reichen sogar die mit AmigaOS 3.9/Genesis mitgelieferten Boardmittel, besondere Kenntnisse oder Spezial-Tools sind nicht notwendig.

Im Klartext: Sollten Sie Genesis einsetzen und irgendwo Ihre IP-Nummer preisgeben, ist es praktisch jedem anderen Amiga-Anwender möglich, Ihre Partitionen bei sich anzumelden und lesend bzw. schreibend (!) darauf zuzugreifen!

Gegenmaßnahmen

Das Loch lässt sich recht einfach "stopfen":

Öffnen Sie die Genesis-Voreinstellungen
Wechseln Sie zum Abschnitt "Dienste"
Suchen Sie den Eintrag "amiganetfs/2500"
Entfernen Sie diesen Eintrag

Dadurch wird AmigaNetFS deaktiviert und das Problem ist behoben.

Abschließend

Ob dieses Problem auch andere Versionen von Genesis als die mit OS3.9 ausgelieferte betrifft, konnte bisher noch nicht ermittelt werden. Ebenfalls ist unklar, ob AmigaNetFS auch Bestandteil des Genesis-Vorgängers "AmiTCP" ist.

Wir möchten uns herzlich bei den Besuchern der IRC-Kanäle #amiganews.de und #amigafun bedanken, die uns auf das Problem aufmerksam gemacht haben und uns mit Erläuterungen weitergeholfen haben. (cg)

[Meldung: 02. Nov. 2003, 20:37] [Kommentare: 33 - 05. Nov. 2003, 17:32]
[Per E-Mail versenden] [Druck-Version] [ASCII-Version]

< Nächste Meldung

Vorige Meldung >