Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (25.11.2014):
Für die Distribution Ubuntu 12.04 LTS ist ein Sicherheitsupdate verfügbar.
Version 5 (24.11.2014):
Für die Distributionen Fedora 20 und Fedora 21 sind Sicherheitsupdates des
Paketes kde-runtime verfügbar.
Version 4 (18.11.2014):
Für die Distribution Fedora 19 ist ein Sicherheitsupdate des Paketes
kde-runtime-4.11.5-3.fc19 veröffentlicht worden.
Version 3 (18.11.2014):
Für die Distribution Fedora EPEL 7 ist nun auch ein Sicherheitsupdate
veröffentlicht worden.
Version 2 (17.11.2014):
Für die Distributionen Fedora 19, 20 und 21 sind Sicherheitsupdates
veröffentlicht worden.
Version 1 (14.11.2014):
Neues Advisory
Betroffene Software:
KDE-Runtime <= 4.14.3 KIO-Extras <= 5.1.1 KWebKitPart <= 1.3.4 Betroffene Plattformen: Canonical Ubuntu Linux 12.04 Lts GNU/Linux Red Hat Fedora 19 Red Hat Fedora 20 Red Hat Fedora 21 Extra Packages for Red Hat Enterprise Linux 7 Durch Ausnutzen dieser Schwachstelle kann ein im benachbarten Netz befindlicher, authentisierter Benutzer, als Angreifer, beliebigen Programmcode im Kontext des referenzierten Hostnamens zur Ausführung bringen. Bis dato stehen noch keine nicht verwundbaren Versionen von "kwebkitpart", "kde-runtime" sowie "kio-extras" zur Verfügung, es wurden aber Patches bereitgestellt (siehe Workaround). Workaround: Patches: kwebkitpart http://quickgit.kde.org/?p=kwebkitpart.git&a=commit&h=641aa7c75631084260ae89aecbdb625e918c6689
kde-runtime
http://quickgit.kde.org/?p=kde-runtime.git&a=commit&h=d68703900edc8416fbcd2550cd336cbbb76decb9
kio-extras
http://quickgit.kde.org/?p=kio-extras.git&a=commit&h=13155c8eb71d1c946bea21c38ea0f8ca7c7013cd
Patch:
KDE Security Advisory KDE-advisory-20141113-1
http://kde.org/info/security/advisory-20141113-1.txt
Patch:
Fedora Security Update FEDORA-2014-15124
https://admin.fedoraproject.org/updates/FEDORA-2014-15124/kwebkitpart-1.3.4-5.fc19
Patch:
Fedora Security Update FEDORA-2014-15130
https://admin.fedoraproject.org/updates/FEDORA-2014-15130/kwebkitpart-1.3.4-5.fc20
Patch:
Fedora Security Update FEDORA-2014-15150
https://admin.fedoraproject.org/updates/FEDORA-2014-15150/kwebkitpart-1.3.4-5.fc21
Patch:
Fedora EPEL Security Update FEDORA-EPEL-2014-4113
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4113/kwebkitpart-1.3.4-5.el7
Patch:
Fedora Security Update FEDORA-2014-15248
https://admin.fedoraproject.org/updates/FEDORA-2014-15248/kde-runtime-4.11.5-3.fc19
Patch:
Fedora Security Update FEDORA-2014-15532
https://admin.fedoraproject.org/updates/FEDORA-2014-15532/kde-runtime-4.14.3-2.fc20
Patch:
Fedora Security Update FEDORA-2014-15618
https://admin.fedoraproject.org/updates/FEDORA-2014-15618/kde-runtime-4.14.3-2.fc21
Patch:
Ubuntu Security Notice USN-2414-1
http://www.ubuntu.com/usn/usn-2414-1
CVE-2014-8600: Schwachstelle in IO Slaves und Webkit Part erlaubt Ausführen
beliebigen Programmcodes
Eine Schwachstelle besteht in einer unzureichenden Eingabevalidierung und
-bereinigung durch Bookmarks IO Slaves und Webkit Part in “kwebkitpart” bis
einschließlich Version 1.3.4, “kde-runtime” bis einschließlich Version
4.14.3 und “kio-extras” bis einschließlich Version 5.1.1. Ein im
benachbarten Netz befindlicher, authentisierter Benutzer, als Angreifer,
kann diese Schwachstelle ausnutzen, um Java-Skript im Kontext des
referenzierten Hostnames zur Ausführung zu bringen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1488/
KDE Security Advisory KDE-advisory-20141113-1:
http://kde.org/info/security/advisory-20141113-1.txt
Schwachstelle CVE-2014-8600 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8600
Fedora Security Update FEDORA-2014-15124:
https://admin.fedoraproject.org/updates/FEDORA-2014-15124/kwebkitpart-1.3.4-5.fc19
Fedora Security Update FEDORA-2014-15130:
https://admin.fedoraproject.org/updates/FEDORA-2014-15130/kwebkitpart-1.3.4-5.fc20
Fedora Security Update FEDORA-2014-15150:
https://admin.fedoraproject.org/updates/FEDORA-2014-15150/kwebkitpart-1.3.4-5.fc21
Fedora EPEL Security Update FEDORA-EPEL-2014-4113:
https://admin.fedoraproject.org/updates/FEDORA-EPEL-2014-4113/kwebkitpart-1.3.4-5.el7
Fedora Security Update FEDORA-2014-15248:
https://admin.fedoraproject.org/updates/FEDORA-2014-15248/kde-runtime-4.11.5-3.fc19
Fedora Security Update FEDORA-2014-15532:
https://admin.fedoraproject.org/updates/FEDORA-2014-15532/kde-runtime-4.14.3-2.fc20
Fedora Security Update FEDORA-2014-15618:
https://admin.fedoraproject.org/updates/FEDORA-2014-15618/kde-runtime-4.14.3-2.fc21
Ubuntu Security Notice USN-2414-1:
http://www.ubuntu.com/usn/usn-2414-1
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
