Categories: CloudRechenzentrum

OpenVMS leidet an schwerem Sicherheitsleck

Über ein Leck in OpenVMS kann eine unberechtigte Person die eigenen Privilegien erhöhen. Betroffen sind OpenVMS-Systeme, die auf VAX und Alpha-Prozessoren laufen. Kritische Systeme auf Basis von Intels Itanium-CPU scheinen zumindest teilweise von dem Leck betroffen.

Es gibt für CVE-2017-17482 bereits einen Patch. Allerdings sollen weitere Details noch bis März zurückgehalten werden. Damit sollen die Administratoren Zeit bekommen, die Patches aufzuspielen und zu testen. Daher ist der Eintrag auf cve.mitre.org derzeit noch ohne Details.

Quelle: VSI

Innerhalb der VMS-Shell, der DCL, scheint es durch dieses Leck zu einem Fehler in der Verarbeitung von Befehlen zu kommen, was zu einem Bufferoverflow führt. Ein Anwender kann darüber Code mit den Rechten eines Spervisors ausführen. Unter OpenVMS gibt es insgesamt vier Berechtigungsstufen: User Mode, Supervisor, Executive und einen Kernel Mode, mit dem Zugriff auf das gesamte System möglich wird.

Wie sich dieser Fehler ausnutzen lässt, ist derzeit noch unter Verschluss. Auf Intel Itanium (IA64) können darüber System-Crashes provoziert werden. Wie es in dem Sicherheitsbulletin auf Google Groups heißt, sind alle Versionen von VMS und OpenVMS ab VAX/VMS 4.0 betroffen.

Ausgewähltes Whitepaper

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

OpenVMS ist nach wie vor als Betriebssytem für kritische Infrastrukturen im Einsatz, wie zum Beispiel in Wasserwerken, in Bahnanlagen oder Trading-Systemen. In der Regel können Anwender nur Lokal auf diese Systeme zugreifen. Dennoch könnten Mitarbeiter mit unlauteren Absichten dieses Lecks ausnutzen.

Version 4.0 wurde im September 1984 veröffentlicht. Zum ersten Mal wurde damals noch als VMS das System 1977 vorgestellt. Seit vergangenem Jahr wird auch an einem Port für x86 gearbeitet. Bislang galt dieses Betriebssystem als äußerst sicher.
Anwender, die VSI OpenVMS V8.4-2L1 oder V8.4-2L2 auf Alpha verwenden, sollten den Anbieter VSI kontaktieren. VSI, wurde 2014 mit Genehmigung von HPE gegründet, um OpenVMS mit Updates und Portierungen auf neue Prozessor-Generationen zu versorgen. Nutzer, die OpenVMS V8.4-1H1, V8.4-2 oder V8.4-2L1 auf Itanium verwenden, sollten sich an HPE wenden. Für ältere Versionen, die bereits nicht mehr unterstützt werden, scheint es keine Patches mehr zu geben. Es jedoch nicht augsgeschlossen, dass Systeme produktiv sind, die keine Patches mehr bekommen.

Ausgewähltes Whitepaper

Studie zu Filesharing im Unternehmen: Kollaboration im sicheren und skalierbaren Umfeld

Im Rahmen der von techconsult im Auftrag von ownCloud und IBM durchgeführten Studie wurde das Filesharing in deutschen Unternehmen ab 500 Mitarbeitern im Kontext organisatorischer, technischer und sicherheitsrelevanter Aspekte untersucht, um gegenwärtige Zustände, Bedürfnisse und Optimierungspotentiale aufzuzeigen. Jetzt herunterladen!

Martin Schindler

Martin Schindler schreibt nicht nur über die SAPs und IBMs dieser Welt, sondern hat auch eine Schwäche für ungewöhnliche und unterhaltsame Themen aus der Welt der IT.

Recent Posts

Allianz Risk Barometer 2022: Cyberangriffe weltweites Top-Risiko für Unternehmen

Elfte Umfrage der Allianz: Cyber, Betriebsunterbrechung und Naturkatastrophen sind weltweit die drei größten Geschäftsrisiken in…

31 Minuten ago

Worauf es bei der Banken-IT besonders ankommt

Finanzinstitute unterliegen strengen Auflagen, wenn es um die Digitalisierung geht. Doch der Finanzbereich kommt an…

2 Stunden ago

Patentstreit zwischen Apple und Ericsson eskaliert

Apple reagiert auf Ericssons Klagen mit einer eigenen ITC-Beschwerde. Das Unternehmen aus Cupertino bekundet aber…

3 Tagen ago

Google fordert sichere Rahmenbedingungen für Datenaustausch zwischen USA und EU

Googles Chief Legal Officer kritisiert in einem Blogeintrag die Datenschutzgrundverordnung. Auslöser ist eine Entscheidung aus…

3 Tagen ago

Samsung stellt am 8. Februar Galaxy S 22 vor

Ein Teaser-Video bestätigt Gerüchte, wonach Samsung die Note-Serie mit der Galaxy-S-Serie zusammenlegt. Samsung verspricht zudem…

3 Tagen ago

ISG-Studie: Intelligente Prozessautomatisierung in Deutschland

Die Nachfrage nach Automatisierungslösungen und -dienstleistungen, die unternehmensübergreifende Use Cases ermöglichen, steigt.

3 Tagen ago