Ernstig remote authenticatielek in OpenBSD gepatcht

[Captain Kirk]

Er is een ernstig remote authenticatielek in OpenBSD gepatcht dat aanvallers op afstand toegang tot verschillende systemen had kunnen geven. De kwetsbaarheid in het authenticatiesysteem werd ontdekt door onderzoekers van securitybedrijf Qualys en maakte het mogelijk om de authenticatie te omzeilen.

Door het opgeven van een bepaalde gebruikersnaam kon een remote aanvaller in het geval van smtpd, ldapd en radiusd de authenticatie beïnvloeden zodat die automatisch succesvol was. Zodoende was het mogelijk om zonder geldig wachtwoord in te loggen. Hiervoor moest de gebruikersnaam "-schallenge" (of "-schallenge:passwd") worden gebruikt. Zodra een aanvaller deze gebruikersnaam opgaf werd hij automatisch ingelogd.

De aanval werkte vanwege "defense-in-depth" maatregelen niet tegen sshd. Qualys waarschuwde de ontwikkelaars van OpenBSD, die binnen 40 uur met een patch kwamen. Naast het authenticatielek zijn ook drie andere kwetsbaarheden verholpen waardoor een aanvaller die al toegang tot een systeem had zijn rechten kon verhogen. Gebruikers van OpenBSD 6.5 en OpenBSD 6.6 krijgen het advies om de laatste updates te installeren.

 

 

bron: security.nl