Ontwikkelgemeenschap dicht lekken in CVS

De afgelopen maand werden zes veiligheidslekken ontdekt in CVS, Concurrent Versions System.

CVS is een ook bij bedrijven populaire open source tool waarmee groepen ontwikkelaars de wijzigingen en versies beheren van hun projecten. De CVS-ontwikkelgemeenschap heeft de lekken gedicht in de nieuwste versies. Worden de bugs uitgebuit, dan kunnen kwaadwillenden de computers inzetten voor gedistribueerde aanvallen op andere computers (de zogenoemde Ddos) of om schadelijke opdrachten uitvoeren op de gekraakte machine zelf. Dat stellen Duitse ict-beveiligingsspecialisten van E-matters, die drie van de gaten ontdekten.Twee weken geleden werden de eerste drie veiligheidsproblemen gevonden in CVS. Een bug in de code bleek toegang te verlenen tot de website van het CVS-project. De daarop volgende computerkraak was de aanleiding voor E-matters om de broncode van CVS te onderzoeken.Om sommige van de bugs te kunnen uitbuiten, moet een kraker beschikken over een geldig wachtwoord van een cvs-gebruiker of van de netwerk(of pc-)beheerder. Andere fouten kunnen op afstand worden geëxploiteerd met beperkte gebruiksrechten op de CVS-server. Volgens E-matters kan bijvoorbeeld door het uitvoeren van een opdracht met daarin de CVS-functie ‘double-free()’ een machine met computermotor Linux aangetast raken.