Beveiligingslek in Kazaa-software ontdekt

[Han]

Bron : www.webwereld.nl - 27 mei 2003

Beveiligingslek in Kazaa-software ontdekt
De p2p-programma's op het Fasttrack-netwerk waaronder Kazaa krijgen binnen 24 uur een update omdat er een lek in de software is gevonden

Volgens de beveiligingsexpert 'Random_Nut', die zijn bevindingen publiceerde op de Full Disclosure mailinglijst, gaat het hier om een 'ernstig' lek. De makers van Kazaa ontkennen dit tegenover ZDNet Australië. Wel zullen zij binnen 24 uur met een update van Kazaa komen en raden zij gebruikers aan om de update snel te installeren.

Gebruikers van die software, zoals bijvoorbeeld Kazaa, Grokster en iMesh, maken verbinding met het netwerk via een 'supernode'. Dat is een gebruiker die aan bepaalde eisen voldoet en fungeert als soort toegangspoort tot het netwerk. Op één supernode kunnen ongeveer tweehonderd gebruikers aangesloten zitten.

Het netwerk gebruikt zo nu en dan informatiepakketjes om gebruikers te laten weten dat er een softwareupdate beschikbaar is. Wie als supernode zo'n pakketje bewerkt en verstuurt naar de Kazaa-clients, kan de controle krijgen over de machines van de gebruikers. In ongeveer de helft van de geteste gevallen, lukte het om op die manier het lek te misbruiken.

Random_Nut heeft in eerste instantie de makers van Kazaa (Fasttrack), die sinds kort verdergaan onder de naam Joltid, op de hoogte gebracht. Deze mensen hebben op hun beurt de eigenaar van de Kazaa-software (Sharman Networks) ingelicht.

[Han]

Ik kan uit het artikel niet halen of het nu om Kazaa, Kazaa Lite of om beide versies gaat.
Even de site van Kazaa Lite in de gaten houden, om te lijken of er een nieuwere versie staat.

De versie die daar nu te downloaden is = Kazaa Lite 2.1.0 (K++ Edition 2.03v) Nederlands Build 1
Die versie is op 15 februari 2003 al uitgebracht en beschermt dus nog niet tegen hetgeen waarover in het artikel hierboven gesproken wordt.

[Han]

Heb op tweakers.net gelezen dat deze bug alleen zit in de gewone versie van Kazaa,
en niet in Kazaa Lite tenzij je die als supernode geconfigureerd hebt