Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
D-Bus < 1.8.16 Betroffene Plattformen: SUSE Software Development Kit 12 Enterprise SUSE Linux Enterprise Desktop 12 SUSE Linux Enterprise Server 12 Durch Ausnutzen dieser Schwachstellen kann ein lokaler, nicht authentisierter Angreifer seine Rechte erweitern und einen Denial-of-Service (DoS)-Angriff durchführen. Für SUSE Linux Enterprise Software Development Kit 12, Enterprise Server 12 und Desktop 12 werden Sicherheitsupdates bereitgestellt, bei denen die genutzten dbus-1 oder dbus-1-x11 Bibliotheken auf Version 1.8.16 aktualisiert werden, um diese Schwachstellen zu beheben. Patch: SUSE Security Update SUSE-SU-2015:0457-1 https://www.suse.com/support/update/announcement/2015/suse-su-20150457-1.html
CVE-2015-0245: Schwachstelle in D-Bus ermöglicht Denial-of-Service-Angriff
Eine Schwachstelle in der Behandlung von D-Bus
ActivationFailure-Nachrichten, auf Systemen mit einer Systemd entsprechenden
Service-Aktivierung, verhindert nicht das Versenden von Nachrichten von
Nicht-Root-Zugängen. Dem D-Bus-Service kann das Scheitern des Starts eines
Dienstes vorgetäuscht werden.
CVE-2014-8148: D-Bus-Schwachstelle ermöglicht Privilegieneskalation
D-Bus erlaubt, wenn ein System-Service unsichere Sicherheitsrichtlinien
installiert, beliebige Methodenaufrufe, auch von einer anderen UID, als
jener des D-Bus-Daemons selbst. Ein Angreifer kann diese Schwachstelle
ausnutzen, indem er Aufrufe an “UpdateActivationEnvironment” sendet, um
einen partiellen Denial-of-Service-Zustand (erhöhter Speicherverbrauch)
herbeizuführen oder seine Privilegien zu erweitern.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-0319/
Schwachstelle CVE-2014-8148 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8148
Schwachstelle CVE-2015-0245 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-0245
SUSE Security Update SUSE-SU-2015:0457-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20150457-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
