Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Nagios < 4.3.5 Betroffene Plattformen: Red Hat Fedora 25 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Ein lokaler, nicht authentisierter Angreifer kann eine Schwachstelle in Nagios ausnutzen, um seine Privilegien bis auf 'root' zu erweitern und dadurch ein System vollständig zu kompromittieren. Für Fedora 25 sowie Fedora EPEL 6 und 7 stehen Backport-Sicherheitsupdates in Form der Pakete 'nagios-4.3.4-3.fc25', 'nagios-4.3.4-4.el6' und 'nagios-4.3.4-3.el7' im Status 'testing' bereit. Patch: Fedora Security Update FEDORA-2017-9d345f250a (Fedora 25, nagios-4.3.4-3) https://bodhi.fedoraproject.org/updates/FEDORA-2017-9d345f250a
Patch:
Fedora Security Update FEDORA-EPEL-2017-3c06a7eecf (Fedora EPEL 7,
nagios-4.3.4-3)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-3c06a7eecf
Patch:
Fedora Security Update FEDORA-EPEL-2017-164cc614ff (Fedora EPEL 6,
nagios-4.3.4-4)
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-164cc614ff
CVE-2017-14312: Schwachstelle in Nagios ermöglicht Privilegieneskalation
Nagios Core bis einschließlich Version 4.3.4 führt ‘/usr/sbin/nagios’
initial als ‘root’ aus, unterstützt aber gleichzeitig
Konfigurationsoptionen, in denen diese Datei einem ‘non-root’-Benutzerkonto
gehört (ähnlich kann auch ‘nagios.cfg’ einem ‘non-root’-Benutzerkonto
gehören).
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-1732/
Schwachstelle CVE-2017-14312 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-14312
Fedora Security Update FEDORA-2017-9d345f250a (Fedora 25, nagios-4.3.4-3):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-9d345f250a
Fedora Security Update FEDORA-EPEL-2017-3c06a7eecf (Fedora EPEL 7,
nagios-4.3.4-3):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-3c06a7eecf
Fedora Security Update FEDORA-EPEL-2017-164cc614ff (Fedora EPEL 6,
nagios-4.3.4-4):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-164cc614ff
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
