Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Git
Red Hat Software Collections 1 RHEL 6
Red Hat Software Collections 1 RHEL 7
Betroffene Plattformen:
Red Hat Enterprise Linux 6
Red Hat Enterprise Linux 7
Ein entfernter, nicht authentisierter Angreifer kann zwei Schwachstellen in
Git ausnutzen, um beliebige Shell-Befehle auf dem System eines betroffenen
Git-Benutzers zur Ausführung zu bringen oder Dateien zu manipulieren.
Red Hat veröffentlicht für die Red Hat Software Collections 1 für Red Hat
Enterprise Linux 6 und 7 Sicherheitsupdates für ‘rh-git29-git’ und
adressiert damit beide Schwachstellen.
Patch:
Red Hat Security Advisory RHSA-2017:2491
https://access.redhat.com/errata/RHSA-2017:2491
CVE-2017-1000117: Schwachstelle in Git ermöglicht Ausführung beliebiger
Befehle
Aufgrund der Art und Weise wie der Git-Client mit ‘ssh://’-URLs umgeht
existiert eine Schwachstelle in Git. Ein entfernter, nicht authentisierter
Angreifer kann die Schwachstelle über eine präparierte ‘ssh://’-URL
ausnutzen und so einen Git-Benutzer über unterschiedliche Vektoren
angreifen. Hierfür kann er beispielsweise einen bösartig präparierten
Git-Server verwenden, der eine zur Ausnutzung der Schwachstelle präparierte
URL generiert, zudem kann er über einen bösartigen Commit Benutzer eines
Repositories angreifen und möglicherweise einen Proxy-Server für einen
Angriff verwenden. Eine erfolgreiche Ausnutzung ermöglicht dem Angreifer
beliebige Shell-Befehle auf dem System des betroffenen Benutzers zur
Ausführung zu bringen, wenn er den Benutzer zusätzlich verleiten kann diese
URL aufzurufen. Beispielsweise kann die URL in die Datei ‘.gitmodules’ eines
entfernten Repositories eingebracht und über den unverdächtigen Befehl ‘git
clone –recurse-submodules’ aufgerufen werden.
CVE-2017-8386: Schwachstelle in Git ermöglicht Manipulation von Dateien
Die Verbindung zu entfernten Servern über ‘git-shell’ (SSH) erlaubt erlaubt
die Verwendung von Optionen, die über Dashes (‘-‘) in die Kommandozeile
eingegeben werden können. Die Verwendung von Repositorien mit Namen, die
einen vorangestellten Dash enthalten, ist für ‘git-shell’ nicht eindeutig
implementiert. Die Ergebnisse von Befehlszeilenoperationen in diesem Kontext
sind daher nicht eindeutig und können von Denial-of-Service (DoS)-Zuständen
(Ausführung des Befehls wird verweigert) bis hin zur unautorisierten
Manipulation von Dateien (über die Option ‘–help’ wird ein interaktiver
Terminal Pager wie ’emacs’ oder ‘nano’ gestartet) reichen. Ein entfernter,
nicht authentisierter Angreifer kann eine Schwachstelle in Git ausnutzen, um
Daten in entfernten Repositorien zu manipulieren, deren Name mit einem Dash
(‘-‘) beginnt.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1471/
Schwachstelle CVE-2017-8386 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-8386
Schwachstelle CVE-2017-1000117 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-1000117
Red Hat Security Advisory RHSA-2017:2491:
https://access.redhat.com/errata/RHSA-2017:2491
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
