Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Cobbler

Betroffene Plattformen:

SUSE Manager Server 3.0
SUSE Manager Tools 12

Ein entfernter, einfach authentisierter Angreifer kann mit Hilfe eines
speziell präparierten Links auf eine gültige Cobbler-Profilseite einen
Cross-Site-Scripting-Angriff durchführen und dadurch Informationen
ausspähen.

Für SUSE Manager Tools 12 und SUSE Manager Server 3.0 stehen
Sicherheitsupdates für ‘cobbler’ bereit.

Patch:

SUSE Security Update SUSE-SU-2017:1699-1

http://lists.suse.com/pipermail/sle-security-updates/2017-June/002983.html

CVE-2016-9605: Schwachstelle in Cobbler ermöglicht
Cross-Site-Scripting-Angriff

Aufgrund der unzureichenden Validierung von Parametern existiert eine
Schwachstelle in Cobbler, die es einem Angreifer ermöglicht, lesenden
Zugriff auf beliebige Systemdateien zu erhalten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1109/

Schwachstelle CVE-2016-9605 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-9605

SUSE Security Update SUSE-SU-2017:1699-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-June/002983.html

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.