Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

MRBS < 1.7.0 Betroffene Plattformen: Red Hat Fedora 25 Red Hat Fedora 26 Red Hat Fedora 27 Extra Packages for Red Hat Enterprise Linux 6 Extra Packages for Red Hat Enterprise Linux 7 Mehrere Schwachstellen im Meeting Room Booking System (MRBS) ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung von Cross-Site-Scripting (XSS)- und Cross-Site-Request-Forgery (CSRF)-Angriffen sowie weiterer nicht genauer spezifizierter Angriffe. Das MRBS-Projekt hat die MRBS Version 1.7.0 auf Sourceforge veröffentlicht. Fedora stellt für die Distributionen Fedora 25, 26 und 27 sowie Fedora EPEL 6 und 7 Sicherheitsupdates für MRBS auf die Version 1.7.0 zur Behebung der Schwachstellen im Status 'testing' zur Verfügung. Patch: Fedora Security Update FEDORA-2017-69cc374b0d (Fedora 26, mrbs-1.7.0-1.fc26) https://bodhi.fedoraproject.org/updates/FEDORA-2017-69cc374b0d

Patch:

Fedora Security Update FEDORA-2017-b5bcfedf10 (Fedora 25, mrbs-1.7.0-1.fc25)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-b5bcfedf10

Patch:

Fedora Security Update FEDORA-2017-f93ebc905e (Fedora 27, mrbs-1.7.0-1.fc27)

https://bodhi.fedoraproject.org/updates/FEDORA-2017-f93ebc905e

Patch:

Fedora Security Update FEDORA-EPEL-2017-829397958a (Fedora EPEL 7,
mrbs-1.7.0-1.el7)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-829397958a

Patch:

Fedora Security Update FEDORA-EPEL-2017-b18745f45c (Fedora EPEL 6,
mrbs-1.7.0-1.el6)

https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-b18745f45c

Patch:

MRBS 1.7.0 Release Informationen

https://sourceforge.net/p/mrbs/news/2017/11/mrbs-170-release/

SYSS-2017-021 SYSS-2017-022 SYSS-2017-023 SYSS-2017-024: Schwachstellen in
MRBS ermöglichen u.a. Cross-Site-Scripting-Angriffe

In Meeting Room Booking System (MRBS) bis einschließlich 1.6.1 existieren
mehrere Schwachstellen, die die Möglichkeit für Cross-Site-Scripting (XSS)-,
Cross-Site-Request-Forgery (CSRF)- (aufgrund eines unzureichenden
CSRF-Schutzes und Session-Fixierung) sowie für weitere nicht näher
spezifizierte Angriffe bieten.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-2083/

Fedora Security Update FEDORA-2017-69cc374b0d (Fedora 26, mrbs-1.7.0-1.fc26):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-69cc374b0d

Fedora Security Update FEDORA-2017-b5bcfedf10 (Fedora 25, mrbs-1.7.0-1.fc25):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-b5bcfedf10

Fedora Security Update FEDORA-2017-f93ebc905e (Fedora 27, mrbs-1.7.0-1.fc27):
https://bodhi.fedoraproject.org/updates/FEDORA-2017-f93ebc905e

Fedora Security Update FEDORA-EPEL-2017-829397958a (Fedora EPEL 7,
mrbs-1.7.0-1.el7):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-829397958a

Fedora Security Update FEDORA-EPEL-2017-b18745f45c (Fedora EPEL 6,
mrbs-1.7.0-1.el6):
https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2017-b18745f45c

MRBS 1.7.0 Release Informationen:
https://sourceforge.net/p/mrbs/news/2017/11/mrbs-170-release/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.