Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

DCMTK <= 3.6.1 Betroffene Plattformen: Red Hat Fedora 21 Durch Ausnutzen dieser Schwachstelle kann ein lokaler, authentifizierter Benutzer, als Angreifer, höhere Rechte erlangen. Für Red Hat Fedora 21 werden Sicherheitsupdates in Form aktualisierter Pakete von orthanc-0.8.5-2.fc21 und dcmtk-3.6.1-1.fc21 (im Status "pending") bereitgestellt. Patch: Fedora Security Update FEDORA-2014-17055 https://admin.fedoraproject.org/updates/FEDORA-2014-17055/orthanc-0.8.5-2.fc21,dcmtk-3.6.1-1.fc21

CVE-2013-6825: Schwachstelle in DCMTK erlaubt Privilegieneskalation

(1) movescu.cc und (2) storescp.cc in dcmnet/apps/, (3)
dcmnet/libsrc/scp.cc, (4) dcmwlm/libsrc/wlmactmg.cc, (5) dcmprscp.cc, (6)
dcmpsrcv.cc in dcmpstat/apps/, (7) dcmpstat/tests/msgserv.cc und (8)
dcmqrdb/apps/dcmqrscp.cc in DCMTK 3.6.1 und früher überprüfen nicht den
Rückgabewert des “setuid”-Systemaufrufs. Ein lokaler, authentifizierter
Benutzer, als Angreifer kann diese Schwachstelle ausnutzen, indem er eine
große Anzahl von Prozessen erzeugt, um Rechte zu erlangen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2014-1684/

Schwachstelle CVE-2013-6825 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-6825

Fedora Security Update FEDORA-2014-17055:
https://admin.fedoraproject.org/updates/FEDORA-2014-17055/orthanc-0.8.5-2.fc21,dcmtk-3.6.1-1.fc21

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.