DFN-CERT-2013-1096 Schwachstelle in Nagios Remote Plugin Executor [Linux][Fedora]

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket nrpe

Betroffene Plattformen:

Fedora 17
Fedora 18


Eine Schwachstelle in Nagios Remote Plugin Executor ermöglicht einem
entfernten Angreifer beliebige Befehle auszuführen.


Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

<http://dl.fedoraproject.org/pub/fedora/linux/updates/>


CVE-2013-1362: Schwachstelle im Nagios Remote Plugin Executor

In Nagios Remote Plugin Executor vor Version 2.14 werden Metazeichen nicht
vollständig bereinigt. Einem entfernten Angreifer ist es dadurch
schlimmstenfalls möglich, dass verwendete Skripte, wie z.B. check_http,
verwendet werden können um beliebige Befehle mit den Rechten des
NRPE-Nutzers auszuführen.


Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
<https://portal.cert.dfn.de/adv/DFN-CERT-2013-1096/>

Das Hersteller Advisory:
<http://lists.fedoraproject.org/pipermail/package-announce/>

Schwachstelle CVE-2013-1362:
<http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2013-1362>


(c) DFN-CERT Services GmbH
Die nicht kommerzielle Weiterverbreitung ist mit Hinweis auf den
Copyrightinhaber erlaubt.