Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (16.03.2017):
Für Red Hat Linux HPC Node EUS 7.1 und EUS 7.2 sowie Red Hat Enterprise
Linux Server EUS 7.1, EUS 7.2, AUS 7.2 und TUS 7.2 stehen
Sicherheitsupdates für die ‘policycoreutils’ bereit.
Version 5 (31.01.2017):
Für SUSE Linux Enterprise Server for Raspberry Pi 12 SP2 und Server 12
SP2, 12 SP1, 11 SP4 sowie Debuginfo 11 SP4 stehen Sicherheitsupdates für
‘policycoreutils’ zur Verfügung.
Version 4 (15.11.2016):
Für Oracle VM 3.3 und Oracle VM 3.4 stehen Sicherheitsupdates für
‘policycoreutils’ über das ‘Unbreakable Linux Network’ bereit.
Version 3 (15.11.2016):
Für Oracle Linux 6 und 7 werden Sicherheitsupdates für ‘policycoreutils’
bereitgestellt.
Version 2 (14.11.2016):
Für die Red Hat Enterprise Linux Produkte Desktop, HPC Node, Server und
Workstation in der Versionen 6 und 7 sowie Red Hat Enterprise Linux Server
TUS 7.3 stehen Sicherheitsupdates in Form aktualisierter Pakete von
‘policycoreutils’ bereit. Die ‘policycoreutils’-Pakete beinhalten die Core
Policy Utilities, die für die Administration einer SELinux-Umgebung
erforderlich sind.
Version 1 (07.10.2016):
Neues Advisory
Betroffene Software:
policycoreutils
SELinux
Betroffene Plattformen:
SUSE Linux Enterprise Debuginfo 11 SP4
SUSE Linux Enterprise Server 11 SP4
SUSE Linux Enterprise Server 12 SP1
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
Oracle Linux 6
Oracle Linux 7
Oracle VM Server 3.3
Oracle VM Server 3.4
Red Hat Enterprise Linux Desktop 6
Red Hat Enterprise Linux Desktop 7
Red Hat Enterprise Linux HPC Node 6
Red Hat Enterprise Linux HPC Node 7
Red Hat Enterprise Linux HPC Node 7.1 EUS
Red Hat Enterprise Linux HPC Node 7.2 EUS
Red Hat Enterprise Linux Server 6
Red Hat Enterprise Linux Server 7
Red Hat Enterprise Linux Server 7.1 EUS
Red Hat Enterprise Linux Server 7.2 AUS
Red Hat Enterprise Linux Server 7.2 EUS
Red Hat Enterprise Linux Server 7.2 TUS
Red Hat Enterprise Linux Server 7.3 TUS
Red Hat Enterprise Linux Workstation 6
Red Hat Enterprise Linux Workstation 7
Red Hat Fedora 25
Ein entfernter, nicht authentifizierter Angreifer kann
Sicherheitsvorkehrungen in SELinux umgehen und in der Folge beliebigen
Programmcode auf dem betroffenen System ausführen.
Für Fedora 25 stehen verschiedene Pakete als Backport-Sicherheitsupdates für
SELinux bereit.
Patch:
Fedora Security Update FEDORA-2016-b7e8e980ef (Fedora 25,
policycoreutils-2.5-17)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-b7e8e980ef
Patch:
Red Hat Security Advisory RHSA-2016:2702
http://rhn.redhat.com/errata/RHSA-2016-2702.html
Patch:
Oracle Linux Security Advisory ELSA-2016-2702
https://linux.oracle.com/errata/ELSA-2016-2702.html
Patch:
Oracle VM Security Advisory OVMSA-2016-0157 (Oracle VM 3.3)
https://oss.oracle.com/pipermail/oraclevm-errata/2016-November/000581.html
Patch:
Oracle VM Security Advisory OVMSA-2016-0157 (Oracle VM 3.4)
https://oss.oracle.com/pipermail/oraclevm-errata/2016-November/000580.html
Patch:
SUSE Security Update SUSE-SU-2017:0338-1
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002610.html
Patch:
SUSE Security Update SUSE-SU-2017:0339-1
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002611.html
Patch:
SUSE Security Update SUSE-SU-2017:0340-1
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002612.html
Patch:
Red Hat Security Advisory RHSA-2017:0535-1
http://rhn.redhat.com/errata/RHSA-2017-0535.html
Patch:
Red Hat Security Advisory RHSA-2017:0536-1
http://rhn.redhat.com/errata/RHSA-2017-0536.html
CVE-2016-7545: Schwachstelle in SELinux Sandbox ermöglicht Umgehen von
Sicherheitsvorkehrungen
Bei Ausführung eines Programms in der SELinux Sandbox ist es der
‘nonpriv’-Sitzung möglich, über den Systemaufruf ‘TIOCSTI’ Zeichen in den
Eingangspuffer des Terminals zu schieben und dadurch aus der Sandbox
auszubrechen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1630/
Schwachstelle CVE-2016-7545 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7545
Fedora Security Update FEDORA-2016-b7e8e980ef (Fedora 25,
policycoreutils-2.5-17):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-b7e8e980ef
Red Hat Security Advisory RHSA-2016:2702:
http://rhn.redhat.com/errata/RHSA-2016-2702.html
Oracle Linux Security Advisory ELSA-2016-2702:
https://linux.oracle.com/errata/ELSA-2016-2702.html
Oracle VM Security Advisory OVMSA-2016-0157 (Oracle VM 3.3):
https://oss.oracle.com/pipermail/oraclevm-errata/2016-November/000581.html
Oracle VM Security Advisory OVMSA-2016-0157 (Oracle VM 3.4):
https://oss.oracle.com/pipermail/oraclevm-errata/2016-November/000580.html
SUSE Security Update SUSE-SU-2017:0338-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002610.html
SUSE Security Update SUSE-SU-2017:0339-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002611.html
SUSE Security Update SUSE-SU-2017:0340-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-January/002612.html
Red Hat Security Advisory RHSA-2017:0535-1:
http://rhn.redhat.com/errata/RHSA-2017-0535.html
Red Hat Security Advisory RHSA-2017:0536-1:
http://rhn.redhat.com/errata/RHSA-2017-0536.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
