dev.board

ViaThinkSoft Security Bulletin - FC Move 1.0 löscht Benutzerdaten

Das am 17. Dezember 2006 veröffentlichte Programm FC Move 1.0 weist eine kritische Sicherheitslücke auf, die bei falschen Kommandozeilenparameter die Daten löscht statt zu verschieben. Es wird empfohlen, umgehendst auf Version 1.1 oder höher umzusteigen und alle Kopien von Version 1.0 umgehendst zu vernichten, selbst wenn Sie Version 1.0 in einer Batch-Datei einsetzen, bei der das Sicherheitsproblem nicht ausgelöst wird. Der Fehler wurde bereits am 16. März 2009 durch Version 1.1 BEHOBEN.

Beschreibung

FC Move verschiebt alle Dateien, die zu einer vom Benutzer angegebenen Dateimaske ("Source") angegeben werden (z.B. A:\*.*) in ein Zielverzeichnis ("Destination", z.B. C:\Diskette\). Existieren im Zielverzeichnis bereits gleichnamigen Dateien, wird der Dateiinhalt verglichen. Sind die Dateien gleich, wird nicht verschoben, sondern gelöscht, was gefahrenlos ist, da es sich um die selben Dateien handelt. Sind die Dateien unterschiedlich, werden sie dementsprechend durch fortlaufende Nummerierung umbenannt. Dadurch gehen beim Batch-Verschiebevorgang keine Daten verloren.

Rekonstruktion

Gibt der Benutzer als Parameter zwei identische Verzeichnisse an, so werden alle Dateien, die auf die Source-Dateimaske zutreffen GELÖSCHT. Grund: Das Programm prüft nicht, ob die Verzeichnisse gleich sind und führt die Hauptprozedur durch. Es wird festgestellt, dass die ausgewählten Dateien aus dem Quellverzeichnis auch im Zielverzeichnis vorkommen und löscht diese daher. Im Falle, dass Quell- und Zielverzeichnis identisch sind werden hier jedoch die Daten ebenfalls aus dem Zielverzeichnis gelöscht und sind damit verloren. Ab Version 1.1 wird vor der Hauptprozesurausführung geprüft, ob die Verzeichnisse gleich sind (relative Pfadangaben werden aufgelöst) und der Programmfluss rechtzeitig beendet.

Ein Aufruf, der zum Datenverlust führt, hat in etwa die Struktur:
fcmove A:\*.* A:\
oder auch
fcmove .\*.* A:\
sofern Sie sich z.B. gerade auf A:\ befinden.

Verzeichnisse, die erst seit Version 1.2 unterstützt werden, sind nicht betroffen, selbst wenn sie auf die Dateimaske zutreffen. Betroffene Benutzer können kürzlich gelöschte Daten mit einem Wiederherstellungstool wiederherstellen, solange die freigegebenen Datenträgersektoren nicht überschrieben wurden.

Der Fehler wurde bei einem Rollup durch Zufall gefunden. Über einen Datenverlust sind wir nicht unterrichtet worden. Bitte beachten Sie, dass ViaThinkSoft und deren Entwickler für keine Schäden, die durch unsere Software entstehen, verantwortlich gemacht werden kann. Wir versuchen jedoch stets, unsere Software so professionell, komfortabel und sicher wie möglich zu entwickeln. Außerdem sind die meisten Produkte von ViaThinkSoft (darunter auch FC-Move) Open-Source, was bedeutet, dass Benutzer stets unseren Code betrachten und nachvollziehen können, sodass unsere Produkte stets verbessert werden können.