Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (20.01.2016):
SUSE stellt für die SUSE Linux Enterprise Produkte Server for VMWare 11
SP3, Server 11 SP4, Server 11 SP3, Desktop 11 SP4 und Desktop 11 SP3
Sicherheitsupdates bereit.
Version 1 (20.01.2016):
Neues Advisory
Betroffene Software:
Linux rsync
Betroffene Plattformen:
SUSE Linux Enterprise Desktop 11 SP3
SUSE Linux Enterprise Desktop 11 SP4
SUSE Linux Enterprise Desktop 12
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Server 11 SP3
SUSE Linux Enterprise Server 11 SP3 for VMware
SUSE Linux Enterprise Server 11 SP4
SUSE Linux Enterprise Server 12
SUSE Linux Enterprise Server 12 SP1
Zwei Schwachstellen in rsync ermöglichen einem entfernten, nicht
authentifizierten Angreifer das Bewirken eines Denial-of-Service-Zustandes,
die Manipulation von Dateien und das Ausführen beliebigen Programmcodes mit
Benutzerrechten.
Für die SUSE Linux Enterprise Produkte Server 12 und 12 SP1 sowie Desktop 12
und 12 SP1 stehen Sicherheitsupdates bereit.
Patch:
SUSE Security Update SUSE-SU-2016:0173-1
https://www.suse.com/support/update/announcement/2016/suse-su-20160173-1.html
Patch:
SUSE Security Update SUSE-SU-2016:0176-1
https://www.suse.com/support/update/announcement/2016/suse-su-20160176-1.html
CVE-2014-8242: Schwachstelle in rsync ermöglicht das Manipulieren von
Dateien
Die librsync Bibliothek verwendet für das Erkennen von gleichen Blöcken eine
MD4-Hash-Summe. MD4 ist nicht kryptografisch stark, wodurch sogenannte
Kollisionen in der Hash-Summe auftreten können. Es ist möglich, dass durch
die Kontrolle von einem Teil einer Datei andere Teile der Datei ebenfalls
kontrolliert werden können. Ein entfernter, nicht authentifizierter
Angreifer kann durch das Ausnutzen der Schwachstelle verhindern, dass
Dateien synchronisiert werden (Denial-of-Service-Angriff) oder dass der
Inhalt der Datei manipuliert werden kann.
CVE-2014-9512: Schwachstelle in rsync ermöglicht das Ausführen beliebigen
Programmcodes mit den Rechten des Benutzers
Eine Schwachstelle in rsync ermöglicht es, durch die Verwendung von
symbolischen Links, beliebige Dateien mit den Rechten des Benutzers zu
schreiben und spätestens beim Neustart des System auszuführen. Wird der
Parameter “-a” beim Aufruf von rsync verwendet, werden rekursiv alle Dateien
inklusive symbolischer Links von dem Startverzeichnis aus abgeglichen.
Ein entfernter, nicht authentifizierter kann, durch die Verwendung eine
präparierten Servers, beliebige Dateien schreiben und mit den Rechten des
Benutzers ausführen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-0099/
Schwachstelle CVE-2014-9512 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-9512
Schwachstelle CVE-2014-8242 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-8242
SUSE Security Update SUSE-SU-2016:0173-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20160173-1.html
SUSE Security Update SUSE-SU-2016:0176-1:
https://www.suse.com/support/update/announcement/2016/suse-su-20160176-1.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
