Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 5 (18.04.2017):
Für openSUSE Leap 42.2 steht nun ebenfalls ein Sicherheitsupdate für
‘dracut’ bereit.
Version 4 (06.04.2017):
Für den SUSE Linux Enterprise Server for Raspberry Pi 12 SP2, für SUSE
Linux Enterprise Server und Desktop in Version 12 SP2 sowie für OpenStack
Cloud Magnum Orchestration 7 stehen Sicherheitsupdates für ‘dracut’
bereit.
Version 3 (17.03.2017):
Für openSUSE Leap 42.1 steht ein Sicherheitsupdate bereit, welches
zusätzlich zur Behebung der Schwachstelle mehrere Fehlerkorrekturen
beinhaltet.
Version 2 (09.03.2017):
Für SUSE Linux Enterprise Server 12 SP1 und SUSE Linux Enterprise Desktop
12 SP1 stehen Sicherheitsupdates zur Behebung dieser Schwachstelle bereit.
Version 1 (08.11.2016):
Neues Advisory
Betroffene Software:
dracut
Betroffene Plattformen:
OpenStack Magnum 7
openSUSE Leap 42.1
openSUSE Leap 42.2
SUSE Linux Enterprise Desktop 12 SP1
SUSE Linux Enterprise Desktop 12 SP2
SUSE Linux Enterprise Server 12 SP1
SUSE Linux Enterprise Server 12 SP2
SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi
Red Hat Fedora 23
Red Hat Fedora 24
Red Hat Fedora 25
Ein lokaler, einfach authentifizierter Angreifer kann einen Kernel ohne
eingebettete ‘initramfs’-Datei erstellen und dadurch ein möglicherweise
nicht verwendbares System erzeugen.
Für Fedora 23, 24 und 25 stehen Sicherheitsupdates für dracut im Status
‘testing’ bereit.
Patch:
Fedora Security Update FEDORA-2016-272fa6b96e (Fedora 23,
dracut-043-67.fc23)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-272fa6b96e
Patch:
Fedora Security Update FEDORA-2016-94d1c64fe2 (Fedora 24,
dracut-044-21.fc24)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-94d1c64fe2
Patch:
Fedora Security Update FEDORA-2016-cc5006bef7 (Fedora 25,
dracut-044-78.fc25)
https://bodhi.fedoraproject.org/updates/FEDORA-2016-cc5006bef7
Patch:
SUSE Security Update SUSE-SU-2017:0641-1
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002688.html
Patch:
openSUSE Security Update openSUSE-SU-2017:0708-1
http://lists.opensuse.org/opensuse-updates/2017-03/msg00047.html
Patch:
SUSE Security Update SUSE-SU-2017:0951-1
http://lists.suse.com/pipermail/sle-security-updates/2017-April/002788.html
Patch:
openSUSE Security Update openSUSE-SU-2017:1033-1
http://lists.opensuse.org/opensuse-updates/2017-04/msg00060.html
CVE-2016-8637: Schwachstelle in dracut ermöglicht Denial-of-Service-Angriff
Unter bestimmten Umständen – im Zusammenhang mit vorangestelltem Mikrocode –
ist es möglich, mittels dracut eine ‘initramfs’-Datei mit falschen
Berechtigungen zu erzeugen, wodurch das betroffene System sich
möglicherweise nicht mehr starten lässt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2016-1837/
Fedora Security Update FEDORA-2016-272fa6b96e (Fedora 23, dracut-043-67.fc23):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-272fa6b96e
Fedora Security Update FEDORA-2016-94d1c64fe2 (Fedora 24, dracut-044-21.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-94d1c64fe2
Fedora Security Update FEDORA-2016-cc5006bef7 (Fedora 25, dracut-044-78.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2016-cc5006bef7
Schwachstelle CVE-2016-8637 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-8637
SUSE Security Update SUSE-SU-2017:0641-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-March/002688.html
openSUSE Security Update openSUSE-SU-2017:0708-1:
http://lists.opensuse.org/opensuse-updates/2017-03/msg00047.html
SUSE Security Update SUSE-SU-2017:0951-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-April/002788.html
openSUSE Security Update openSUSE-SU-2017:1033-1:
http://lists.opensuse.org/opensuse-updates/2017-04/msg00060.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
