FRITZ!NAS: Sicherheitslücke?

[hermann72pb]

Ich hatte heute mir diese Java-basierte AVM-Neuerung "FRITZ!NAS" kurz angeschaut und hatte nicht schlecht gestaunt, wie ich als angebliche ftpuser über alle meinen ext2-Laufwerke durchmarschieren konnte. Ich dachte zunächst, ok, vielleicht liegt es ja an der falschen Berechtigung und hatte testweise

root@fritz:/var/media/ftp/SYSTEM# chmod -R 700 test
root@fritz:/var/media/ftp/SYSTEM# cd test
root@fritz:/var/media/ftp/SYSTEM/test# ls -l
-rwx------    1 root     root        134876 Mar 20  2010 blkid-ng
-rwx------    1 root     root           280 Feb  3  2009 df_ausgabe.txt
-rwx------    1 root     root        122464 Mar 20  2010 findfs-ng
-rwx------    1 root     root             0 Aug 19  2009 ????????????.txt
-rwx------    1 root     root             0 Aug 19  2009 ????????.txt
-rwx------    1 root     root             0 Aug 19  2009 ????????????.txt

für ein Verzeichnis Namens "test" gemacht.
Desto trotz konnte ich mit dem Java-Tool brav in "test" reinwechseln und mir die Inhalte auflisten lassen.
Hat sich das jemand bereits angeschaut? Wollen wir diese tolle AVM-Wurst langfristig auspatchen können?

MfG

 

[RalfFriedl]

Kannst Du feststellen, über welchen Port und mit welchem Programm sich dieses Java-Tool verbindet?

 

[hermann72pb]

Wenn du mir sagen würdest, wo und wie ich es machen kann, mache ich es gerne, Ralf. Ich hatte mal zunächst ps durchgeforstet und nichts gefunden. Wahrscheinlich läuft die Geschichte erstmal auf Box-Seite über den gleichen AVM-Webserver (ctlmgr), sodass wir dort eher weniger fündig werden. In der üblichen Struktur vom AVM-Webserver (da wo die ganzen Branding-spezifische Webseiten liegen) taucht seit kurzem einiges zum FRITZ!NAS. Ich vermute, dass entweder der gleiche Webserver auf dem Port80 einfach ein anderes Unterverzeichnis zeigt (vielleicht sowas ähnliches wie Apache mit der Unterscheidung nach Namen) oder eben eine zweite Instanz auf einem anderen Port, was ich eher nicht glaube.
Soll ich auf der Klientseite (windows-Rechner) die Portnachforschung treiben?

Edit: Die URL der NAS-Seite bringt uns vielleicht etwas weiter:

http://fritz.box/nas/index.lua?nas_sid=472f9b8800295ea2&view=detail&sort_by=abc&nas_not_activ=false&site=files&sort_order=up&dir=%2fSYSTEM%2ftest

MfG

 

[RalfFriedl]

Unter Windows zeigt netstat offene Verbindungen an, wenn auch nicht mit allen Optionen, die man von Linux her kennt. Auch auf der Box kann man mit netstat offene Verbindungen anzeigen.
Außerdem kann man sich mit tcpdump die Pakete ansehen, die über das Netz gesendet werden.

 

[hermann72pb]

Ich glaube, das müssen wir in diesem Falle ausnamsweise nicht tun. Habt ihr euch bereits die Sachen unter /usr/www.nas/all angeschaut? Die AVM-Jungs scheinen nun lua zu benutzen. Und derjenige, der diese Geschichte implementiert hat, scheint die Zeit nicht gescheut zu haben, um das Programm vernünftig zu kommentieren. Ich würde den FREETZ-Entwicklern dringends raten sich die Kommentare anzuschauen. Es ist wirklich unterhaltenswert und entspricht nicht dem alt bekannten fast kommentarlosen AVM-Still. Aus Kommentaren kann man Einiges über die neue Benutzerverwaltung und deren Implementierung erraten.
Ich bin zwar kein LUA-Experte, man kann sich aber bestimmt in die Sprache reinfuchsen und Einiges umpatchen. Den Haupt-Bug, dass ctlmgr als root läuft werden wir damit natürlich nicht los, aber werden wenigstens die Auswirkung etwas abschwächen können.

@Ralf: Die Ports schaue ich mir gleich dennoch an.

MfG

 

[olistudent]

In den Java-Scripten wird doch die Ausgabe vom AVM ftpd geparst? Zumindest war das so als ich sie mir vor 2 Monaten angesehen habe. AVM hat wahrscheinlich eine eigene Benutzerverwaltung in ihrer acl-Lib implementiert. Sollte alles im Open-Source Package sein.

MfG Oliver

 

[hermann72pb]

Oliver: Vieleicht reden wir aneinader vorbei, diese FRITZ!NAS-Geschichte benutzt aber kein Java-Skript, sondern einen Java-Applet. Zumindest kam bei meinem Firefox eine entsprechende Meldung, als ich es zum ersten Mal aufgerufen hatte. Java-Applet braucht man normalerweise, um komplette Ordner hoch- bzw. runterladen zu können. Wird oft auch auf größeren WebServern für WebFTP und ähnliches eingesetzt.
LUA-Sachen sind im OpenSource-Teil? Das ist ja interessant...
Die Kommentare sind aber ziemlich Box-bezogen und verraten Einiges über die Skripte.

MfG

 

[olistudent]

Nicht die Lua-Skript sind im OpenSource Paket. Sondern die Implementierung der AVM ACL Library und der ftpd. Und AVM parsed in den Java-Applets die Ausgaben des ftpd. Greifen also per FTP auf die Ordner zu.

MfG Oliver

 

[hermann72pb]

Ich habe den ftpd gestoppt, aus /etc/inetd.conf gelöscht, inetd gesstoppt und trotzdem komme ich per FRITZ!NAS drauf.
Man kann natürlich ftpd-Binary direkt ansteuern, aber ob sie es tun? Es ist dennoch blödsinnig so eine Applikation als root laufen zu lassen. Man sollte diesen Parcer finden und als ftpuser oder was weiß ich laufen lassen. Um Zugriff besser zu managen, würde ich eine Gruppe "ftpusers" anlegen zu der ja auch der ftpuser und andere Benutzer von ftp gehören sollen. Und root sollte man erstmal aussperen.
Wenn die AVMs sich eine Extrawurst ausdenken, um mit FAT eine Benutzerverwaltung hinzukriegen, dürfen sie dennoch auf die Rechte in einem ext2-Dateisystem nicht pfeifen. Zu dem mal wurde ext2-Modul von AVM wieder in die Firmware reingenommen. D.h. sie wollen damit wieder was anfangen.

MfG

 

[cuma]

Wie sieht es aus wenn du den ftpd mit "rc.ftpd stop" beendest? Vielleicht waren noch von inetd gestartete ftp-instanzen offen

 

[olistudent]

Ah, ich Stand etwas auf dem Schlauch. Natürlich wird nur der Up-/Download über die Dropboxen über die Java Applets (->ftpd) gemacht.

MfG Oliver

 

[hermann72pb]

Wie sieht es aus wenn du den ftpd mit "rc.ftpd stop" beendest? Vielleicht waren noch von inetd gestartete ftp-instanzen offen

Nene, ps zeigte auch nicht dass da ftpd oder inetd lief.

Ich schaue es mir nachher (die Tage) noch genauer an.

MfG

 

[cuma]

Funktioniert der ftp mittlerweile? Ticket 829

 

[olistudent]

Bei mir funktioniert der Up-/Download über die Dropboxen inzwischen mit dem AVM ftpd. Dass man die Verzeichnisse browsen kann liegt, wie Hermann schon schrieb, wohl daran, dass ctlmgr den Interpreter (/cgi-bin/luacgi) als root startet. Vielleicht sollte man das mal bei AVM anmerken?

Gruß
Oliver

 

[cuma]

Das wird AVM wohl egal sein, da es eh keine Benutzerverwaltung gibt. Es geht ja nur um die Freigabe per ftp/samba/http. So ist root wohl die beste Lösung gewesen, damit man von extX Laufwerken problemlos alles lesen kann

 

[olistudent]

Der ftpd läuft nicht als root und der samba auch nicht...

 

[cuma]

Sicher? Ich hab nur ne Box mit Freetz zur Hand

 3514 root      2596 S    nmbd -D -s /mod/etc/smb.conf

Man loggt sich mit dem Passwort von ftpuser nur bei samba&ftp ein. Bei fritz.nas wird es nicht anders sein (hab ich nicht ausprobiert)

 

[RalfFriedl]

Was hat der nmbd damit zu tun? Der ist nicht für den Zugriff auf Dateien zuständig.

 

[cuma]

Nichts. Hab den genommen da ich wie gesagt momentan keine passende Box im Zugriff habe. Start von smbd und nmbd ist ja gleich

 

[RalfFriedl]

Der smbd, der für den Dateizugriff zuständig ist, wechselt auf den jeweiligen Benutzer vor dem Zugriff auf Dateien.