Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

RubyGem Passenger <= 5.0.28 Betroffene Plattformen: SUSE Linux Enterprise Module for Containers 12 Eine Schwachstelle in RubyGem Passenger ermöglicht einem entfernten, nicht authentifizierten Angreifer das Erlangen von Benutzerrechten. SUSE stellt ein Sicherheitsupdate für Linux Enterprise Module for Containers 12 zur Verfügung. Patch: SUSE Security Update SUSE-SU-2015:2337-1 https://www.suse.com/support/update/announcement/2015/suse-su-20152337-1.html

CVE-2015-7519: Schwachstelle in RubyGem Passenger ermöglicht das Erlangen
von Benutzerrechten

In RubyGem Passenger existiert eine Schwachstelle, die aufgrund
unzureichender Überprüfung bzw. Filterung von Header-Eingaben beim
Exportieren in Umgebungsvariablen besteht. Durch die Verwendung von ‘_’
anstelle eines ‘-‘ ist es möglich, Umgebungsvariablen zu überschreiben und
in eine Web-Anwendung zu injizieren. In der Folge kann sich ein Angreifer
z.B. als ein anderer Benutzer ausgeben.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1977/

Schwachstelle CVE-2015-7519 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-7519

SUSE Security Update SUSE-SU-2015:2337-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152337-1.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.