Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 2 (02.02.2017):
Für Fedora 24 und 25 sowie Fedora EPEL 7 stehen Sicherheitsupdates auf
ViewVC 1.1.26 im Status ‘testing’ bereit.
Version 1 (31.01.2017):
Neues Advisory
Betroffene Software:
ViewVC < 1.1.26 Betroffene Plattformen: Red Hat Fedora 24 Red Hat Fedora 25 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Ein entfernter, einfach authentifizierter Angreifer mit der Berechtigung, einem Repository eine neue Dateiversion hinzuzufügen (Commit), kann ein ausführbares Skript als Dateiname verwenden und dadurch einen Cross-Site-Scripting (XSS)-Angriff auf Benutzer von ViewVC durchführen. Der Hersteller informiert über die Schwachstelle und stellt die Programmversion 1.1.26 bereit, um die Schwachstelle zu beheben. Für Fedora EPEL 6 steht diese Programmversion als Sicherheitsupdate im Status 'testing' bereit. Patch: Fedora Security Update FEDORA-EPEL-2017-b17ae6b75a (Fedora EPEL 6, viewvc-1.1.26-1.el6) https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-b17ae6b75a
Patch:
Fedora Security Update FEDORA-2017-2bce6ed778 (Fedora 24,
viewvc-1.1.26-1.fc24)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-2bce6ed778
Patch:
Fedora Security Update FEDORA-2017-bd3c3c957f (Fedora 25,
viewvc-1.1.26-1.fc25)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-bd3c3c957f
Patch:
Fedora Security Update FEDORA-EPEL-2017-cf95057959 (Fedora EPEL 7,
viewvc-1.1.26-1.el7)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-cf95057959
VIEWVC-1-1-26-A: Schwachstelle in ViewVC ermöglicht
Cross-Site-Scripting-Angriff
Die Namen von Verzeichnissen und Dateien in Repositories werden von ViewVC
nicht ausreichend bereinigt, bevor sie an die Variable ‘nav_path’ übergeben
werden, auf die das Standard-Template zur Darstellung des Repository-Inhalts
von ViewVC zugreift.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0175/
Fedora Security Update FEDORA-EPEL-2017-b17ae6b75a (Fedora EPEL 6,
viewvc-1.1.26-1.el6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-b17ae6b75a
ViewVC GitHub Issue #137: XSS vulnerability in nav_path template data:
https://github.com/viewvc/viewvc/issues/137
Fedora Security Update FEDORA-2017-2bce6ed778 (Fedora 24,
viewvc-1.1.26-1.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-2bce6ed778
Fedora Security Update FEDORA-2017-bd3c3c957f (Fedora 25,
viewvc-1.1.26-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-bd3c3c957f
Fedora Security Update FEDORA-EPEL-2017-cf95057959 (Fedora EPEL 7,
viewvc-1.1.26-1.el7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-cf95057959
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
