CVE-2005-2395

Allgemeine Beschreibung

Die CVE-2005-2395 handelt von einer Schwachstelle aus dem Jahre 2005 bei der im Browser Mozilla Firefox, ein Fehler in der User Authentifikation gefunden wurde.
Die CVE gehört zur CWE-312, welche davon handelt, dass sensitive Informationen unverschlüsselt gespeichert und verschickt werden. Daten unverschlüsselt zu
speichern oder zu verschicken bietet Angreifern die Möglichkeit einfach an sensitive Informationen und sich Zugriff zu privaten Konten oder Servern zu verschaffen.
Die CVE-2005-2395 hat eine CVSS-Bewertung von 5.

Technische Beschreibung

Was ist aber nun genau passiert? Im Jahre 2005 wurde HTTP/1.0 verwendet, und HTTP´s Authentifizierung Framework bot zwei Authentifizierungsschemas an: die „Basic Access Authentication" und die etwas sicherere „Digest Access Authentication". Der Browser Mozilla Firefox wurde, in den Versionen 1.0.4 und 1.0.5, so konfiguriert dass, wenn er bei der Authentifizierung von Nutzern und oder Servern die Wahl hat zwischen den beiden Authentifizierungsschemata, unter bestimmten Voraussetzungen die “Basic Access Authentication” wählen würde, selbst wenn das sichere Schema zur Verfügung stände. Aber warum ist das nun ein Problem? Wichtig ist hier anzumerken das schon damals im Jahre 2005 die “Basic Access Authentication” als nicht sicher eingestuft wurde und laut der RFC 2617 (die zu der Zeit aktuell war) schon als veraltet galt, denn bei der Authentifizierung über ein Netzwerk versendet die “Basic Access Authentication” die User ID und das Passwort in unverschlüsselter form über das Internet, das könnte folgendermaßen aussehen:

user-pass = userid “:” password
userid =
password = “sesam oeffne dich”

Warum hat man aber überhaupt so ein unsicheres Authentifizierungsschema in seinem Browser intigriert? Bevor es die Digest Access Verschlüsslung gab hat man mithilfe von SSL das Authentifizierungsverfahren zusätzlich stärker verschlüsselt. Der Fehler von Seiten Mozilla war es

Anzunehmen das alle Websites Digest Access unterstützen
Keine sichere Basic Access Authentifizierung mithilfe SSL zu ermöglichen
Beim Fall das eine Website beides unterstützt die Authentifizierung mithilfe Basic Access zu priorisieren

Möglichkeiten die Schwachstelle auszunutzen

Die potenziellen Angreifer müssen nur den Datenverkehr eines Opfers abhören und haben dann Zugriff auf vertrauliche Daten, da diese nur nach der
“Basic Access Authentication” Base64-codiert und nicht verschlüsselt werden.

Lösung

Die Schwachstelle in den Firefox Versionen wurde vom Herstelle Mozilla bereits intern entdeckt bevor User diese am 19.07.2005 veröffentlichten. Inerhalb weniger Tage veröffentlichte Mozilla einen Patch für ihren Browser der die Auswahl des Authentifizierung-Schemas von der Basic Access Authentication auf die Digest Access Authentication anpasste. Eine alternative Lösung wäre gewesen mithilfe von SSL das Basic Access Authentication-schema zu verstärken und damit keine Daten mehr unverschlüsselt über das Internet zu versenden.

Begriffserklärung

RFC steht für “Request for Comment” und ist eine Sammlung von Dokumenten und unter anderem auch Internetstandards.
RFC 2617 ist ein Standard der einen Authentifizierungsmechanismus für HTTP festlegt. Sie wurde 2015 durch die RFC 7617 abgelöst.
Basic Access Authentication ist ein Authentifizierungsschema. Bei diesem werden die relevanten Daten Base64-codiert an verschickt.
Digest Access Authentication ist das zweite von HTTP vorgegebene Authentifizierungsschema.
Base64: Base64 ist ein Verfahren zur Kodierung von 8-Bit-Binärdaten (z. B. ausführbare Programme, ZIP-Dateien oder Bilder) in eine Zeichenfolge, die nur aus lesbaren, Codepage-unabhängigen ASCII-Zeichen besteht