Apache Guacamole Schwachstelle durch Java und C Unicode Unterschiede

Sonarsource.com berichtet über kritische Sicherheitslücken im beliebten Remote-Desktop-Gateway Apache Guacamole, die auf das schlechte Zusammenspiel der Zeichenkodierung von Java mit anderen Programmiersprachen zurückzuführen sind. Diese Schwachstellen CVE-2023-30575 und CVE-2023-30576 ermögliche es Angreifern mit geringen Benutzerrechten ermöglicht, durch Angriffe auf die externe Web-Oberfläche Remote-Code auf dem Guacamole-Server auszuführen.

Die Interoperabilität zwischen der Java-Komponente und dem C-Backend von Guacamole steht dabei im Mittelpunkt. Insbesondere führen Unterschiede in der Verarbeitung von Unicode-Zeichenketten durch Java in sog. Compact Strings (ab Java 9) zu unerwartetem Verhalten, das Schwachstellen öffnet, die Angreifer ausnutzen können. Dies verdeutlicht das Risiko, das mit der Verwendung unterschiedlicher Technologien in einem Projekt einhergeht.

Die Entdecker der Schwachstellen haben ihre Erkenntnisse auf der Konferenz Hexacon23 präsentiert, und ein Video dazu ist auf YouTube unter dem Titel “HEXACON2023 - An Avocado Nightmare by Stefan Schiller” verfügbar. Die Sicherheitslücken wurden im Mai 2023 mit der Version 1.5.2 von Apache Guacamole behoben, und es gibt keine Anzeichen dafür, dass sie vor der Behebung ausgenutzt wurden.

Tags :

Related Posts

Zugangskarten Cloning Schwachstelle bei ICT entdeckt

In einem Security Advisory warnt der Zutrittkontrollsystem Hersteller ICT vor einer Schwachstelle in seinen Zutrittssicherungssystemen der Protege-Reihen. Es besteht eine hohe Sicherheitsgefahr durch eine Schwachstelle in den ICT MIFARE und DESFire Karten und Tags/Fobs. Die betroffenen Komponenten speichern Verschlüsselungsschlüssel unsicher im Firmware-Binary, was es Angreifern ermöglicht, Zugangsberechtigungen für jede Kartennummer und jeden Standortcode zu klonen, die die Standard-ICT-Verschlüsselung verwenden.

Read More

Out-Of-Bounds Memory Read Schwachstelle in Citrix NetScaler entdeckt

Das Sicherheitsunternehmen Bishop Fox hat ein Advisory zu einer kritische Sicherheitslücke in den Citrix NetScaler ADC- und Gateway-Komponenten der Version 13.1-50.23 herausgebracht. Die Schwachstelle, die unautorisierten Zugriff auf sensible Informationen ermöglicht, betrifft speziell die Komponenten, die für Authentifizierung, Autorisierung und Auditierung (AAA) sowie den Fernzugriff genutzt werden. Diese Produkte sind zentraler Bestandteil vieler Unternehmensnetzwerke, die auf Citrix-Lösungen setzen.

Read More

Datenpanne bei Rekrutierungs-App des Europäischen Parlaments

Laut einem Bericht des Europamagazins euractiv.com hat das Europäische Parlament hat am Montag, den 6. Mai, eine interne Mitteilung über eine Datenpanne bei der Anwendung “PEOPLE” versendet, die für die Einstellung nicht-ständiger Mitarbeiter genutzt wird.

Read More