Root-Passwort unter Ubuntu 5.10 im Klartext auslesbar

[Volker Eckert]

Hallo Lugravtuxe,

wahrscheinlich haben es schon die meisten im Heiseticker gelesen, aber
ich denke es sollte auf jeden fall breit verteilt werden, damit jeder
der Ubuntu im Einsatz hat, sein System schnellstmöglich schützen kann.
Ich poste mal den Heise Orginaltext.

Gruß Volker 
---------------schnipp------------------------
Root-Passwort unter Ubuntu 5.10 im Klartext auslesbar
Ist die Linux-Distribution Ubuntu 5.10[1] (Breezy Badger) als
Mehrbenutzersystem eingerichtet, so können andere Anwender unter
Umständen sehr leicht an Root-Rechte gelangen. Nach Angaben des
Herstellers enthalten die Log-Dateien der
Installation /var/log/installer/cdebconf/questions.dat
und /var/log/debian-installer/cdebconf/questions.dat das bei der
Einrichtung des ersten Anwenders festgelegte Password im Klartext. Die
Dateien sind zudem "world-readable" und somit von jedermann lesbar. Zwar
ist unter Ubuntu der Root-Account standardmäßig deaktiviert, das bei der
Installation definierte erste Anwenderkonto aber in der Gruppe der
Administratoren eingetragen und darf mit sudo und Angabe des eigenen
Passworts Befehle mit Root-Rechten ausführen. Ob das eigene Passwort im
Klartext lesbar ist, können Anwender mit grep -r rootpasswort /var
feststellen, wobei rootpasswort durch das eigene zu ersetzen ist.
Allerdings taucht das Passwort dann in der Bash-History und kurzzeitig
in der Prozessliste auf. Besser ist, die zu untersuchende Datei mit less
zu öffnen und mit /rootpasswort nach dem Klartextkennwort zu suchen.

Ursache des Problems sind Fehler in den Paketen base-config und passwd,
die der Hersteller durch die Pakete 2.67ubuntu20 (base-config) und
1:4.0.3-37ubuntu8 (passwd) ersetzt. Das Update beseitigt zudem die
Passwörter und macht die Log-Dateien nur für Root lesbar. Ubuntu 4.10,
5.04 und das kommende 6.04 (Dapper Drake) sind nicht von dem Problem
betroffen. Wer allerdings von Breezy Badger auf die Entwicklerversion
von Dapper Drake aktualisiert hat, sollte das passwd-Pakete ebenfalls
auf Version 1:4.0.13-7ubuntu2 updaten.