Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Systemd
Betroffene Plattformen:
SUSE Linux Enterprise Software Development Kit 12 SP2
GNU/Linux
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
Ein Angreifer kann eine Schwachstelle in Systemd ausnutzen, um
Administratorrechte zu erlangen.
Für die SUSE Linux Enterprise Produkte Software Development Kit, Server,
Server for Raspberry Pi und Desktop in der Version 12 SP2 stehen
Sicherheitsupdates bereit.
Patch:
Commit für Fix 06eeacb6fe029804f296b065b3ce91e796e1cd0e
https://github.com/systemd/systemd/commit/06eeacb6fe029804f296b065b3ce91e796e1cd0e
Patch:
SUSE Security Update SUSE-SU-2017:0279-1
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002596.html
CVE-2016-10156: Schwachstelle in Systemd ermöglicht Erlangen von
Administratorrechten
Eine Schwachstelle in ‘/src/basic/fs-util.c’ von Systemd in Version 228
beruht auf der Erzeugung von Dateien, welche für die Welt beschreibbar sind
und das SUID-Flag gesetzt haben, wenn das Systemd-Timers-Feature benutzt
wird.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0145/
Schwachstelle CVE-2016-10156 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-10156
Commit für Fix 06eeacb6fe029804f296b065b3ce91e796e1cd0e:
https://github.com/systemd/systemd/commit/06eeacb6fe029804f296b065b3ce91e796e1cd0e
SUSE Security Update SUSE-SU-2017:0279-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002596.html
Heise Security 24.01.2017 – “Ein Jahr alte Root-Schwachstelle in Systemd
aufgetaucht”:
https://www.heise.de/security/meldung/Ein-Jahr-alte-Root-Schwachstelle-in-Systemd-aufgetaucht-3606599.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
