Ich denke mir, dass einige Vertias Produkte einsetzen...

deshalb:


VERITAS NetBackup - Format-String-Luecke

Onlineversion:
http://www.tecchannel.de/sicherheit/reports/7104.html



Warnstufe:
Kritisch

Auswirkungen:
Systemzugriff

Angriffsweg(e):
aus dem lokalen Netz

Betriebssystem(e):
Linux
Microsoft Windows
Unix

Software:
VERITAS NetBackup BusinesServer 4.x
VERITAS NetBackup DataCenter 4.x
VERITAS NetBackup Enterprise Server 5.x
VERITAS NetBackup Server 5.x
VERITAS NetBackup Enterprise Server 6.x
VERITAS NetBackup Server 6.x

Beschreibung:
Ueber eine Schwachstelle in VERITAS NetBackup koennen Angreifer das System kompromittieren.

Die Sicherheitsluecke beruht auf einem Formatstring-Fehler im bei der Anmeldung im Java-Nutzerinterface (bpjava-msvc) und tritt bei der Verarbeitung des Kommandos "COMMAND_LOGON_TO_MSERVER". Der anfaellige Deamon "bpjava-msvc" laeuft sowohl auf dem Server als auch auf dem Agent.

Eine erfolgreiche Attacke ermoeglicht das Ausfuehren beliebigen Codes, erfordert aber Zugriff auf Port 13722/TCP.

Die Sicherheitsluecke ist bestaetigt fuer die folgende Versionen:
- VERITAS NetBackup Data and Business Center Version 4.5FP
- VERITAS NetBackup Data and Business Center Version 4.5MP
- VERITAS NetBackup Enterprise/Server/Client Version 5.0
- VERITAS NetBackup Enterprise/Server/Client Version 5.1
- VERITAS NetBackup Enterprise/Server/Client Version 6.0

Loesung:
Installieren Sie die Patches.
http://seer.support.veritas.com/docs/279085.htm

VERITAS NetBackup Data and Business Center Version 4.5FP:
Installieren Sie NB_45_9S1443_F.

VERITAS NetBackup Data and Business Center Version 4.5MP:
Installieren Sie NB_45_9S1729_M.

VERITAS NetBackup Enterprise/Server/Client Version 5.0:
Installieren Sie NB_50_5S1320_M.

VERITAS NetBackup Enterprise/Server/Client Version 5.1:
Installieren Sie NB_51_3AS0949_M.

VERITAS NetBackup Enterprise/Server/Client Version 6.0:
Installieren Sie NB_60_3S0007_M.

Original Security-Report:
Symantec:
http://securityresponse.symantec.com...005.10.12.html

TippingPoint:
http://www.zerodayinitiative.com/adv...DI-05-001.html

Gemeldet von:
Kevin Finisterre, TippingPoint.

------------------------------------------------------------------
Diese Security News basiert auf einem Advisory von Secunia:
http://www.secunia.com/advisories/17181
------------------------------------------------------------------

Sicherheitshinweis: tecCHANNEL Security News - powered by Secunia enthalten grundsaetzlich KEINERLEI Attachments. Ueberpruefen Sie grundsaetzlich die Authentizitaet des Newsletters durch Anklicken des Links auf die Onlineversion. Copyright 2003 IDG Interactive GmbH. Alle Rechte vorbehalten.
Jegliche Vervielfaeltigung oder Weiterverbreitung in jedem Medium in Teilen oder als Ganzes bedarf der schriftlichen Zustimmung der IDG Interactive GmbH