Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 5 (30.12.2015):
Für die SUSE Linux Enterprise Produkte Server 12 SP1 und Desktop 12 SP1
stehen Sicherheitsupdates zur Verfügung.
Version 4 (20.11.2015):
Für die SUSE Linux Enterprise Produkte Server 12, Server for VMWare 11
SP3, Server 11 SP4, Server 11 SP3, Desktop 12, Desktop 11 SP4 und Desktop
11 SP3 stehen Sicherheitsupdates zur Verfügung.
Version 3 (19.11.2015):
Für openSUSE Leap 42.1, 13.2 und 13.1 stehen Sicherheitsupdates zur
Verfügung.
Version 2 (06.11.2015):
Canonical stellt ein Backport-Sicherheitsupdate für die Distribution
Ubuntu 12.04 LTS zur Verfügung, um diese Schwachstelle zu beheben, der
zwischenzeitlich der CVE-Identifier CVE-2015-8025 von NVD zu gewiesen
wurde.
Version 1 (27.10.2015):
Neues Advisory
Betroffene Software:
XScreenSaver <= 5.33 Betroffene Plattformen: Canonical Ubuntu Linux 12.04 Lts openSUSE 13.1 openSUSE 13.2 openSUSE Leap 42.1 SUSE Linux Enterprise Desktop 11 SP3 SUSE Linux Enterprise Desktop 11 SP4 SUSE Linux Enterprise Desktop 12 SUSE Linux Enterprise Desktop 12 SP1 SUSE Linux Enterprise Server 11 SP3 SUSE Linux Enterprise Server 11 SP3 for VMware SUSE Linux Enterprise Server 11 SP4 SUSE Linux Enterprise Server 12 SUSE Linux Enterprise Server 12 SP1 Red Hat Fedora 21 Red Hat Fedora 22 Red Hat Fedora 23 Ein lokaler, nicht authentifizierter Angreifer kann durch das Ausnutzen der Schwachstelle die Desktop-Sperre umgehen und sich vollen Zugang zu der aktuellen Sitzung verschaffen. Für die Distributionen Fedora 21, 22 und 23 steht ein Sicherheitsupdate auf Version 5.34 bereit, um diese Schwachstelle zu schließen. Patch: Fedora Security Update FEDORA-2015-0d0df8d770 (Fedora 22) https://bodhi.fedoraproject.org/updates/FEDORA-2015-0d0df8d770
Patch:
Fedora Security Update FEDORA-2015-19b2b73dc5 (Fedora 23)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-19b2b73dc5
Patch:
Fedora Security Update FEDORA-2015-adfd729dbc (Fedora 21)
https://bodhi.fedoraproject.org/updates/FEDORA-2015-adfd729dbc
Patch:
Ubuntu Security Notice USN-2789-1
http://www.ubuntu.com/usn/usn-2789-1/
Patch:
openSUSE Security Update openSUSE-SU-2015:2032-1
http://lists.opensuse.org/opensuse-updates/2015-11/msg00102.html
Patch:
SUSE Security Update SUSE-SU-2015:2053-1
https://www.suse.com/support/update/announcement/2015/suse-su-20152053-1.html
Patch:
SUSE Security Update SUSE-SU-2015:2054-1
https://www.suse.com/support/update/announcement/2015/suse-su-20152054-1.html
Patch:
SUSE Security Update SUSE-SU-2015:2053-2
https://www.suse.com/support/update/announcement/2015/suse-su-20152053-2.html
CVE-2015-8025: Schwachstelle in XScreenSaver ermöglicht Umgehung von
Desktop-Sperre
Die Komponente XScreenSaver enthält eine nicht näher beschriebene
Schwachstelle. In einem Mehr-Bildschrim-System ist es möglich, die
Desktop-Sperre durch XScreenSaver zu umgehen, wenn man das HDMI-Kabel von
einem der Bildschrime abnimmt, wodurch der XScreenSaver abstürzt. Einem
lokalen Angreifer wird dadurch kompletter Zugang zu der aktuellen Sitzung
gewährt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1667/
Fedora Security Update FEDORA-2015-0d0df8d770 (Fedora 22):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-0d0df8d770
Fedora Security Update FEDORA-2015-19b2b73dc5 (Fedora 23):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-19b2b73dc5
Fedora Security Update FEDORA-2015-adfd729dbc (Fedora 21):
https://bodhi.fedoraproject.org/updates/FEDORA-2015-adfd729dbc
Fedora Bug 1274452 – “Xscreensaver lock bypass”:
https://bugzilla.redhat.com/show_bug.cgi?id=1274452
Schwachstelle CVE-2015-8025 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-8025
Ubuntu Security Notice USN-2789-1:
http://www.ubuntu.com/usn/usn-2789-1/
openSUSE Security Update openSUSE-SU-2015:2032-1:
http://lists.opensuse.org/opensuse-updates/2015-11/msg00102.html
SUSE Security Update SUSE-SU-2015:2053-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152053-1.html
SUSE Security Update SUSE-SU-2015:2054-1:
https://www.suse.com/support/update/announcement/2015/suse-su-20152054-1.html
SUSE Security Update SUSE-SU-2015:2053-2:
https://www.suse.com/support/update/announcement/2015/suse-su-20152053-2.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
