Sicherheit
HP Operations Agent mit Passwort-Lücke
von
Dorothee
Chlumsky - 11.02.2010
Der Operations Agent von HP Openview hat eine Sicherheitslücke, die es Angreifern ermöglicht, über das Internet auf das System zu verschaffen. Grund ist eine Funktion, die Systemzugriff erlaubt, aber kein Passwort verlangt.
HP Operations Agent ist eine Komponente von HP Openview, das in großen Unternehmen eingesetzt wird, um die IT-Infrastruktur zu verwalten. Die Software hat eine Sicherheitslücke, die sich Angreifer zunutze machen können, um per Internet auf das System zuzugreifen. Wie Secunia berichtet, liegt der Fehler in der Funktion, die den Benutzer "opc_op" anlegt, ohne ein Passwort zu vergeben. Diese Lücke lässt sich ausnutzen, um sich Systemrechte zu verschaffen. Das Sicherheitsproblem tritt in Openview Operations 8.x, Openview Operations DCE Agent 8.x sowie in Openview Operations HTTPS Agent 8.x auf. HP hat den Fehler erkannt und einen Sicherheitshinweis mit einem Workaround veröffentlicht, der die Lücke schließt.
