Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Historie:
Version 6 (21.09.2017):
Für die Distributionen openSUSE Leap 42.2 und openSUSE Leap 42.3 sowie die
SUSE Linux Enterprise Produkte Software Development Kit 11 SP4, Server 11
SP4 und 11 SP3 LTSS, Debuginfo 11 SP3 und 11 SP4 stehen Sicherheitsupdates
für den Emacs bereit, um die Schwachstelle zu beheben.
Version 5 (20.09.2017):
Für SUSE Linux Enterprise Server 12 LTSS, 12 SP1 LTSS, 12 SP2 und 12 SP3,
Server for SAP 12 SP1, Server for Raspberry Pi 12 SP2, Desktop 12 SP2 und
12 SP3 sowie SUSE OpenStack Cloud 6 stehen Sicherheitsupdates bereit.
Version 4 (20.09.2017):
Für Fedora 27 steht das Paket ’emacs-25.3-3.fc27′ als aktualisiertes
Sicherheitsupdate im Status ‘testing bereit, welches das mit der Meldung
FEDORA-2017-2d9152a7e5 (Fedora 27, emacs-25.3-1.fc27) veröffentlichte und
nun in den Status ‘obsolete’ versetzte Sicherheitsupdate ersetzt. Die
entsprechende Referenz wurde dieser Meldung entfernt. Für Oracle Linux 7
(x86_64) steht ein Sicherheitsupdate zur Verfügung, ebenso für die Red Hat
Enterprise Linux 7 Produkte Server, Server for ARM, Workstation, Desktop
und Scientific Computing sowie EUS Compute Node 7.4, Server 7.4 EUS, AUS
und TUS.
Version 3 (18.09.2017):
Debian stellt nun für die stabile Distribution Stretch auch ein
Sicherheitsupdate für ’emacs25′ in der Version 25.1+1-4+deb9u1 bereit,
welches die beschriebene Schwachstelle behebt. Fedora hat das
Sicherheitsupdate FEDORA-2017-810b044fd9 (Fedora 25, emacs-25.3-1.fc25) in
den Status ‘obsolete’ überführt, für Fedora 25 wurde das neue Paket
’emacs-25.3-3.fc25′ in FEDORA-2017-3a568adb31 mit veröffentlicht, während
sich die Sicherheitsupdates für Fedora 26 (emacs-25.3-1.fc26) im Status
‘stable’ bzw. für Fedora 27 (emacs-25.3-1.fc27) im Status ‘testing’
befinden.
Version 2 (14.09.2017):
Debian stellt für die stabile Distribution Stretch und die vormals stabile
Distribution Jessie und Backport-Sicherheitsupdates für den Emacs bereit,
welche die beschriebene Schwachstelle beheben.
Version 1 (13.09.2017):
Neues Advisory
Betroffene Software:
GNU Emacs < 25.3 Betroffene Plattformen: SUSE Linux Enterprise Debuginfo 11 SP3 SUSE Linux Enterprise Debuginfo 11 SP4 SUSE Linux Enterprise Software Development Kit 11 SP4 SUSE OpenStack Cloud 6 Debian Linux 8.9 Jessie Debian Linux 9.1 Stretch openSUSE Leap 42.2 openSUSE Leap 42.3 SUSE Linux Enterprise Desktop 12 SP2 SUSE Linux Enterprise Desktop 12 SP3 SUSE Linux Enterprise Server 11 SP3 LTSS SUSE Linux Enterprise Server 11 SP4 SUSE Linux Enterprise Server 12 LTSS SUSE Linux Enterprise Server 12 SP1 LTSS SUSE Linux Enterprise Server for SAP 12 SP1 SUSE Linux Enterprise Server 12 SP2 SUSE Linux Enterprise Server 12 SP2 for Raspberry Pi SUSE Linux Enterprise Server 12 SP3 Oracle Linux 7 Red Hat Enterprise Linux for Scientific Computing 7 Red Hat Enterprise Linux 7.4 EUS Compute Node Red Hat Enterprise Linux Desktop 7 Red Hat Enterprise Linux Server 7 Red Hat Enterprise Linux Server for ARM 7 Red Hat Enterprise Linux Server 7.4 AUS Red Hat Enterprise Linux Server 7.4 EUS Red Hat Enterprise Linux Server 7.4 TUS Red Hat Enterprise Linux Workstation 7 Red Hat Fedora 25 Red Hat Fedora 26 Red Hat Fedora 27 Ein entfernter, nicht authentisierter Angreifer kann eine Schwachstelle in GNU Emacs ausnutzen, mit Hilfe einer präparierten 'text/enriched'-Datei, die von einem Emacs-Prozess geöffnet werden muss, um beliebigen Programmcode zur Ausführung zu bringen. Für Fedora 25, 26 und 27 stehen Sicherheitsupdates auf die Emacs Version 25.3 bereit, um diese Schwachstelle zu beheben. Die Sicherheitsupdates für Fedora 26 und 27 befinden sich im Status 'testing'. Das Update für Fedora 25 besitzt derzeit noch den Status 'pending'. Patch: GNU Emacs Download http://www.gnu.org/software/emacs/download.html
Patch:
Fedora Security Update FEDORA-2017-a1dc0ef38c (Fedora 26, emacs-25.3-1.fc26)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a1dc0ef38c
Patch:
Debian Security Advisory DSA-3970-1
https://www.debian.org/security/2017/dsa-3970
Patch:
Debian Security Advisory DSA-3975-1
https://www.debian.org/security/2017/dsa-3975
Patch:
Fedora Security Update FEDORA-2017-36893b0ea3 (Fedora 27, emacs-25.3-3.fc27)
https://bodhi.fedoraproject.org/updates/FEDORA-2017-36893b0ea3
Patch:
Oracle Linux Security Advisory ELSA-2017-2771
https://linux.oracle.com/errata/ELSA-2017-2771.html
Patch:
Red Hat Security Advisory RHSA-2017:2771
https://access.redhat.com/errata/RHSA-2017:2771
Patch:
SUSE Security Update SUSE-SU-2017:2529-1
http://lists.suse.com/pipermail/sle-security-updates/2017-September/003250.html
Patch:
SUSE Security Update SUSE-SU-2017:2532-1
http://lists.suse.com/pipermail/sle-security-updates/2017-September/003251.html
Patch:
openSUSE Security Update openSUSE-SU-2017:2535-1
http://lists.opensuse.org/opensuse-updates/2017-09/msg00089.html
CVE-2017-14482: Schwachstelle in GNU Emacs ermöglicht Ausführung beliebigen
Programmcodes
Der ‘Enriched Mode’ implementiert ein Erweiterungskommando (Extension
Command) zu dem ‘text/enriched’-Format namens ‘x-display’, welches
‘display’-Texteigenschaften speichert. Dieses Erweiterungskommando kann dazu
verwendet werden, um transparent Programmcode, der in ein ‘x
display’-XML-Element eingeschleust wird, in einem Emacs-Prozess ausführen zu
lassen, der eine derart präparierte ‘text/enriched’-Datei öffnet.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1606/
GNU Emacs Download:
http://www.gnu.org/software/emacs/download.html
Red Hat Bug #1490409 – emacs: Unsafe enriched mode translations:
https://bugzilla.redhat.com/show_bug.cgi?id=1490409
Fedora Security Update FEDORA-2017-a1dc0ef38c (Fedora 26, emacs-25.3-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-a1dc0ef38c
Debian Security Advisory DSA-3970-1:
https://www.debian.org/security/2017/dsa-3970
Schwachstelle CVE-2017-14482 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-14482
Debian Security Advisory DSA-3975-1:
https://www.debian.org/security/2017/dsa-3975
Fedora Security Update FEDORA-2017-36893b0ea3 (Fedora 27, emacs-25.3-3.fc27):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-36893b0ea3
Oracle Linux Security Advisory ELSA-2017-2771:
https://linux.oracle.com/errata/ELSA-2017-2771.html
Red Hat Security Advisory RHSA-2017:2771:
https://access.redhat.com/errata/RHSA-2017:2771
SUSE Security Update SUSE-SU-2017:2529-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-September/003250.html
SUSE Security Update SUSE-SU-2017:2532-1:
http://lists.suse.com/pipermail/sle-security-updates/2017-September/003251.html
openSUSE Security Update openSUSE-SU-2017:2535-1:
http://lists.opensuse.org/opensuse-updates/2017-09/msg00089.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
