Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Historie:
Version 2 (28.04.2017):
Für openSUSE Leap 42.1 und 42.2 stehen Sicherheitsupdates für ‘backintime’
auf Version 1.1.20 bereit.
Version 1 (18.04.2017):
Neues Advisory

Betroffene Software:

Back in Time < 1.1.20 Betroffene Plattformen: openSUSE Leap 42.1 openSUSE Leap 42.2 Red Hat Fedora 24 Red Hat Fedora 25 Red Hat Fedora 26 Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle ausnutzen, um unautorisiert Privilegien zu erlangen und ein System dadurch vollständig zu kompromittieren. Der Hersteller stellt Back In Time 1.1.20 als Sicherheitsupdate zur Behebung der Schwachstelle zur Verfügung. Für Fedora 24, 25 und 26 stehen Sicherheitsupdates für Back In Time auf Version 1.1.20 im Status 'testing' oder 'stable' bereit, um diese Schwachstelle zu beheben. Patch: Fedora Security Update FEDORA-2017-36eb9502b0 (Fedora 26, backintime-1.1.20-1.fc26) https://bodhi.fedoraproject.org/updates/FEDORA-2017-36eb9502b0

Patch:

Fedora Security Update FEDORA-2017-7c9a9b2b36 (Fedora 24,
backintime-1.1.20-1.fc24)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-7c9a9b2b36

Patch:

Fedora Security Update FEDORA-2017-8dce7a3940 (Fedora 25,
backintime-1.1.20-1.fc25)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-8dce7a3940

Patch:

Back in Time 1.1.20 Release Notes

https://github.com/bit-team/backintime/releases/tag/v1.1.20

Patch:

openSUSE Security Update openSUSE-SU-2017:1124-1

http://lists.opensuse.org/opensuse-updates/2017-04/msg00107.html

CVE-2017-7572: Schwachstelle in Back In Time ermöglicht vollständige
Kompromittierung

Die Funktion ‘_checkPolkitPrivilege’ in ‘serviceHelper.py’ in Back In Time
1.1.18 und früheren Versionen verwendet eine überholte
‘polkit’-Autorisierungsmethode (Unix Process), in der es zu einer Race
Condition (Wettlaufsituation) zwischen dem Zeitpunkt der Prüfung und dem
Zeitpunkt der Verwendung (Time of Check, Time of Use) kommen kann. Dadurch
ist es möglich, dass ein Prozessidentifizierer (PID) zwischenzeitlich für
einen anderen Prozess vergeben wurde, so dass dieser die Privilegien aus der
Autorisierungsprüfung für einen anderen Prozess erhält und nicht die des
eigentlich Anfragenden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0654/

Schwachstelle CVE-2017-7572 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-7572

Fedora Security Update FEDORA-2017-36eb9502b0 (Fedora 26,
backintime-1.1.20-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-36eb9502b0

Fedora Security Update FEDORA-2017-7c9a9b2b36 (Fedora 24,
backintime-1.1.20-1.fc24):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-7c9a9b2b36

Fedora Security Update FEDORA-2017-8dce7a3940 (Fedora 25,
backintime-1.1.20-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-8dce7a3940

Back in Time 1.1.20 Release Notes:
https://github.com/bit-team/backintime/releases/tag/v1.1.20

openSUSE Security Update openSUSE-SU-2017:1124-1:
http://lists.opensuse.org/opensuse-updates/2017-04/msg00107.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.