Скачать или смотреть CISO Summit: KW 22 2018 - Huawei iBMC, CSS-Schwachstelle, Git Remote Code Execution

In der Kalenderwoche 22 stellen wir in unserem CISO Summit Schwachstellen in Huawei Servern, CSS-Schwachstellen in Chrome und Firefox sowie Remote Code Execution in Git vor.


Schwachstellen in Huawei Servern
————————————————————————
Huawei hat Sicherheitsupdates zu vier als "hoch" eingestuften Sicherheitslücken veröffentlicht. Die Sicherheitslücken betreffen alle den Intelligent Baseboard Management Controller (iBMC).

Die Sicherheitslücken lassen sich aus der Ferne ausnutzen. Mithilfe der vier Sicherheitslücken können Benutzer ihre Rechte ausweiten, indem beispielsweise das Admin-Passwort geändert werden kann.

Betroffene Server und Versionen werden in den verlinkten Seiten gezeigt. Außerdem werden dort gepachte Versionen gezeigt. Es sollte also geprüft werden, ob bereits gepacht wurde.

Quellen:
http://www.huawei.com/en/psirt/securi...
http://www.huawei.com/en/psirt/securi...
http://www.huawei.com/en/psirt/securi...
https://www.heise.de/security/meldung...

Tags: #Huawei #Sicherheitsupdates #Patches #CVE20187942 #CVE20187949 #CVE20187950 #CVE20187951


CSS-Schwachstelle in Chrome und Firefox
————————————————————————
Über eine Schwachstelle in der CSS-Implementierung in Chrome und Firefox können Angreifer eingebundene iFrames auslesen. Somit könnte ein Angreifer zum Beispiel über ein eingebundenes Facebook-iFrame den Facebook-Nutzer deanonymisieren.

Die Schwachstelle betrifft das CSS3-Feature "mix-blend-mode". Ein Angreifer kann auf einer Seite die DIV-Elemente über dem iFrame manipulieren, um die Farbe der darunterliegenden Schichten zu ermitteln. Um die Farbe zu ermitteln wird die Zeit gemessen, welche für die Ausführung gebraucht wird.

Diese Schwachstelle wurde in Chrome mit der Version 63 und in Firefox mit der Version 60 behoben.

Quellen:
https://www.golem.de/news/chrome-und-...
https://www.heise.de/security/meldung...
https://www.evonide.com/side-channel-...

Tags: #Chrome #GoogleChrome #Firefox #MozillaFirefox #CSS #HTML5 #Deanonymisieren #iFrame #CVE201715417


Remote Code Execution in Git
————————————————————————
Mithilfe einer manipulierten Git-Repository kann unter bestimmten Umständen Schadcode ausgeführt werden. Dafür muss ein Git-Repo eines Angreifers mit dem Parameter "--recurse-submodules" geklont werden.

Dadurch werden Namen der Submodule an den Pfad $GIT_DIR/ angehängt. Über eine Pfadmanipulation ("../") kann der Angreifer die Submodule in ein beliebiges Verzeichnis auf dem Computer des Opfers schreiben (Directory Traversal). Zusätzlich werden bestimmte Kontrollskripte (Post-Checkout-Hooks) auf die Submodule ausgeführt, wodurch der Angreifer auf dem Computer beliebigen Code ausführen kann.

Außerdem gibt es eine zweite Lücke in Git, wodurch unter NTFS beliebige Speicherteile ausgelesen werden können. Dazu konnte der Code zur Überprüfung von Dateipfaden manipuliert werden.

Es stehen gepachte Versionen für viele Versionszweige von Git bereit, welche die Sicherheitslücken beheben. (Die Patches für die erste Lücke verbieten lediglich den doppelten Punkt, wodurch das Problem behoben wird.)

Quellen:
https://www.heise.de/security/meldung...
https://blogs.msdn.microsoft.com/devo...
https://cve.mitre.org/cgi-bin/cvename...
https://www.golem.de/news/versionsver...

Tags: #RemoteCodeExecution #RCE #Git #DirectoryTraversal #CVE201811233 #CVE201811235

Diese Woche wurde das CISO Summit von Alexander Dörsam präsentiert.

Besuchen Sie uns auf https://antago.info