Was zum Teufel ist in diesen Lion LDAP-Schwachstellenberichten wirklich los?

8

Lesen Sie einfach einen Slashdot-Thread zur LDAP-Zerbrochenheit unter OSX. Kann jemand genau erklären, was durch OpenLDAP gesichert wird und warum etwas anderes als auf einem Lion-Computer gespeicherte Daten gefährdet sein könnten?

Ein Zitat aus dem Artikel:

"Als Pen-Tester greifen wir als erstes den LDAP-Server an", sagte Rob Graham, CEO der Wirtschaftsprüfungsgesellschaft Errata Security. „Sobald wir einen LDAP-Server besitzen, besitzen wir alles. Ich kann zu jedem Laptop (in einer Organisation) gehen und mich dort anmelden. “

Wie geht man vom Hacken eines zufälligen Mac-LDAP-Servers zum Besitz des gesamten Unternehmens?

jldugger
quelle
2
Slashdot, The Register und MacRumors sind voller Fehlinformationen und Hype. Nehmen Sie ihre Aussagen mit einem Körnchen Salz, bis Sie auf einer seriösen Quelle darüber lesen. Diese Artikel enthalten nur sehr wenige Details, und es besteht einiges an Verwirrung darüber, ob dies Auswirkungen auf Konten außerhalb des lokalen Computers hat . Es kursieren Gerüchte, dass dieses Problem ein "Albtraum der Unternehmenssicherheit" ist oder es Benutzern ermöglichen könnte, den LDAP-Server zu besitzen, aber das scheint unwahrscheinlich. Defekte und benutzerdefinierte LDAP-Clients sind nichts Neues.
Stefan Lasiewski
Das ist eine gute Frage. Fast jeder Artikel, den ich gelesen habe, ist äußerst detailliert.
Zoredache

Antworten:

8

Sei nicht beunruhigt. Dies ist keine große Bedrohung für Unternehmensnetzwerke, die in diesem Artikel im Register vorgeschlagen wird .

Apple Lion ist neu und daher wird dieser Fehler im Vergleich zu ähnlichen Fehlern auf anderen Betriebssystemen überproportional beachtet. Hier sind einige ruhigere Beschreibungen des gleichen Problems:

Dies ist ein lokaler Exploit auf einem Apple Lion-System, der nur dieses System betrifft. Apple hat noch keine Details bekannt gegeben. So verstehe ich das Problem: Wenn sich jemand einmal erfolgreich bei einem Apple Lion-System anmeldet, kann sich jeder andere mit einem beliebigen Kennwort bei demselben System anmelden. Dies ist ein ernstes Problem für dieses System, aber der Schaden ist größtenteils auf dieses bestimmte System beschränkt. Leider ist dieses System jetzt weniger vertrauenswürdig und befindet sich möglicherweise in Ihrem Netzwerk.

Dieses Problem ermöglicht es einem Hacker NICHT, Ihre AD / LDAP-Server selbst zu besitzen. Ihre AD / LDAP-Server lehnen weiterhin alle falschen LDAP-Autorisierungsanforderungen von LDAP-Clients ab. Um dies zu umgehen, wäre ein schwerwiegender Fehler auf dem LDAP-Server oder dem LDAP-Protokoll oder ein falsch konfigurierter Server erforderlich. Dies ist ein völlig anderes Problem als das oben beschriebene Problem.

Beachten Sie, dass dieses Problem nur Apple Lion-Systeme betrifft, die LDAP zur Authentifizierung verwenden. In den meisten Organisationen ist dies eine sehr kleine Anzahl von Kunden. Ein Apple Lion-Server ist möglicherweise anfälliger, aber Apple muss das Problem näher erläutern, und dieses Problem ist noch nicht sehr offen. Können Sie sich vorstellen, dass RedHat Informationen über eine öffentlich bekannte Sicherheitsanfälligkeit so lange zurückhält?

Stefan Lasiewski
quelle
3

Das Problem mit der Sicherheitsanfälligkeit wird in dem von slashdot verlinkten Artikel ziemlich gut erklärt.

Das eigentliche Problem besteht darin, dass Sie den Inhalt des LDAP-Verzeichnisses lesen können, sobald jemand auf einen Lion-Computer im Netzwerk gelangt, der LDAP als Autorisierungsmethode verwendet. Dadurch erhalten Sie Zugriff auf alle Konten im Netzwerk, die die zentrale Authentifizierung verwenden. Darüber hinaus erhalten Sie Zugriff auf alles, was durch das LDAP-Autorisierungssystem gesichert ist. Grundsätzlich besitzen Sie jetzt alles in diesem Netzwerk.

Als Randnotiz bin ich neugierig, ob es sich um einen Fehler in der LDAP-Autorisierung oder im zugrunde liegenden (wahrscheinlich Kerboros) Authentifizierungssystem handelt.

Wenn Sie LDAP nicht als Autorisierungsquelle verwenden (OpenLDAP, Active Directory, NDS usw.), sind Sie davon nicht betroffen.

Um Ihre spezifische Frage zu beantworten:

Kann jemand genau erklären, was durch OpenLDAP gesichert wird

Die Antwort lautet "Es hängt davon ab ...", was Ihre IT-Infrastruktur eingerichtet hat, um LDAP für die Autorisierung zu verwenden.

Zypher
quelle
3
Darüber hinaus erhalten Sie Zugriff auf alles, was durch das LDAP-Autorisierungssystem gesichert ist. - Wie ist es möglich, einen defekten LDAP-Client (oder einen böswillig angepassten LDAP-Client) zu verwenden, um Zugriff auf Ressourcen zu erhalten, die durch LDAP gesichert sind? Wäre dies nicht ein Fehler im LDAP-Protokoll oder auf dem LDAP-Server selbst?
Stefan Lasiewski
Um es klar auszudrücken, meine Fragen beziehen sich auf andere Ressourcen im Netzwerk ("Grundsätzlich besitzen Sie jetzt alles in diesem Netzwerk.").
Stefan Lasiewski
Sind Sie sicher, dass Sie den Inhalt des Verzeichnisses tatsächlich lesen / sichern können? Wie würde dies erreicht werden? Kerberos ist in einem OSX-Setup nicht erforderlich. Ein Client, der einen ungültigen Benutzer als authentisch akzeptiert, bedeutet nicht, dass der Server ihn als authentifiziert akzeptiert. Wenn der LDAP-Server keine anonymen Lesevorgänge zulässt und der Benutzer kein gültiges Kennwort angegeben hat, wie können sie dann etwas lesen?
Zoredache
Es ist ein Verzeichnis. Natürlich können Benutzer Dinge in Verzeichnissen lesen. Können Sie das userPassword-Attribut ohne Bindung lesen?
Jldugger
@jldugger, In meinem Verzeichnis (nicht OD) können Sie nicht einmal eine Liste von Benutzern ohne eine erfolgreiche Bindung erhalten. Ich kenne OSX allerdings nicht wirklich gut, erstellt es einen Satz von Anmeldeinformationen pro Computer (wie AD), ich habe nicht gedacht, dass dies der Fall ist, aber ich könnte mich irren. Wenn es keine Anmeldeinformationen für den Computer gibt und Apple nichts Dummes tut, wie das Speichern einer umkehrbaren Kopie des Kennworts, weiß ich nicht, wie ein Client-Caching-Fehler bedeutet, dass Sie freien Zugriff auf das Verzeichnis erhalten.
Zoredache