Passwörter von Security-Mailing-Liste ausgespäht

Eine bislang unbekannte Sicherheitslücke in Mailman, einem Open Source-Programm für die Verwaltung von Mailing-Listen, hat zum Diebstahl von Passwörtern der „Full Disclosure Mailing List“ geführt. Durch die Eingabe einer manipulierten Adresse in einen Browser kann ein Angreifer in den Besitz des Passworts eines jeden Mitglieds kommen.

Da viele Anwender ein Passwort gleich für mehrere Systeme nutzen, ist dieser Sachverhalt von besonderer Brisanz. „Jeder, der einen Webbrowser hat, kann eine Datei von einem angreifbaren System herunterladen, es ist ganz einfach“, illustriert John Cartwright, Mitbegründer und Manager der Full Disclosure Mailing List, die Tragweite des Problems.

Cartwright sagte, dass den Angriff wahrscheinlich am 2. Januar erfolgt ist und seiner Meinung nach außer der Passwort-Datei keine anderen Inhalte betroffen waren. Laut der Mailman-Website sind Konfigurationen, die auf Basis von Apache 2.0 betrieben werden, nicht von dem Problem betroffen. Bei der Full Disclosure Mailing List kam aber Apache 1.3 zum Einsatz. Ein Patch kann auf der Mailman-Website heruntergeladen werden.