Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Samba < 4.4.10 Samba < 4.5.6 Betroffene Plattformen: Canonical Ubuntu Linux 14.04 LTS Canonical Ubuntu Linux 16.04 LTS Canonical Ubuntu Linux 16.10 Canonical Ubuntu Linux 17.04 Ein entfernter, nicht authentisierter Angreifer kann diese Schwachstelle mit Hilfe speziell präparierter Datenpakete für einen Denial-of-Service (DoS)-Angriff auf Samba und möglicherweise das gesamte System ausnutzen. Canonical behebt die Schwachstelle für die Distributionen Ubuntu 17.04, Ubuntu 16.10, Ubuntu 16.04 LTS und Ubuntu 14.04 LTS durch verschiedene Backport-Sicherheitsupdates, mit denen zusätzlich eine durch USN-3267-1 eingeführte Regression behoben wird, durch die Samba 'non-wide'-Symlinks auf Verzeichnisse fehlerhaft behandelt. Patch: Ubuntu Security Notice USN-3348-1 http://www.ubuntu.com/usn/usn-3348-1/

CVE-2017-9461: Schwachstelle in Samba ermöglicht Denial-of-Service-Angriff

In ‘smbd’ in Samba vor 4.4.10 und 4.5.x vor 4.5.6 existiert eine
Schwachstelle aufgrund der fehlerhaften Behandlung nicht verbundener
symbolischer Verknüpfungen (Dangling Symlinks), durch die in
‘fd_open_atomic’ eine Endlosschleife mit hoher CPU-Auslastung und hohem
Speicherverbrauch (Infinite Loop with high CPU Usage and Memory Consumption)
ausgelöst werden kann.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1168/

Schwachstelle CVE-2017-9461 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-9461

Ubuntu Security Notice USN-3348-1:
http://www.ubuntu.com/usn/usn-3348-1/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.