Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Puppet

Betroffene Plattformen:

Canonical Ubuntu Linux 14.04 LTS

Eine Schwachstelle in Puppet ermöglicht einem entfernten, einfach
authentisierten Angreifer beliebigen Programmcode auf einem Puppet Server
auszuführen. Ein lokaler, einfach authentifizierter Benutzer, als Angreifer,
kann mittels einer weiteren Schwachstelle durch die Manipulation innerhalb
von Verzeichnissen erreichen, dass beliebiger Programmcode mit den Rechten
eines anderen Benutzers ausgeführt wird und somit auch dessen Privilegien
übernehmen.

Canonical stellt ein Backport-Sicherheitsupdate für Ubuntu 14.04 LTS bereit,
um beide Schwachstellen zu adressieren.

Patch:

Ubuntu Security Notice USN-3308-1

http://www.ubuntu.com/usn/usn-3308-1/

CVE-2017-2295: Schwachstelle in Puppet Server ermöglicht Ausführung
beliebigen Programmcodes

In Puppet existiert eine nicht näher beschriebene Schwachstelle, die es
ermöglicht Daten, welche ein Angreifer-spezifisches Format haben, ohne
weitere Überprüfung durch den Server deserialisieren zu lassen. Ein
Angreifer kann dies ausnutzen, um die Deserialisierung von YAML-Daten auf
eine unsichere Art und Weise zu erzwingen, und dadurch beliebigen
Programmcode auf einem Puppet Server zur Ausführung bringen. Ein entfernter,
einfach authentisierter Angreifer kann beliebigen Programmcode ausführen.

CVE-2014-3248: Schwachstelle in Puppet ermöglicht Ausführung beliebigen
Programmcodes mit Benutzerrechten

Der Pfad für die Ruby-spezifische Variable LOAD_PATH enthält das aktuelle
Verzeichnis ‘.’. Hierdurch kann ein Benutzer ein von einem Angreifer dort
platziertes Ruby-Modul versehentlich laden. Ein lokal angemeldeter Benutzer,
als Angreifer, kann durch Manipulation eines anderen Benutzers erreichen,
dass beliebiger Programmcode mit dessen Rechten ausgeführt wird. Hat dieser
andere Benutzer höhere Privilegien, erhält auch der Angreifer diese Rechte.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0960/

Schwachstelle CVE-2014-3248 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-3248

Schwachstelle CVE-2017-2295 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-2295

Ubuntu Security Notice USN-3308-1:
http://www.ubuntu.com/usn/usn-3308-1/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.